REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Group-IB décrit MadApe, un kit de phishing réutilisable qui exploite le parcours Microsoft Device Code. Les pages peuvent imiter plusieurs services de partage, mais l’objectif reste de faire valider une demande d’authentification initiée pour un tiers sans recueillir le mot de passe dans le faux site.
Déroulement décrit par la source
- La campagne combine pièces jointes PDF à thème professionnel, redirections et faux services de partage avec le portail Microsoft Device Login légitime.
- Des pages visuellement différentes partagent des fonctions JavaScript et points d’API, ce qui soutient l’analyse d’un même cadre de phishing réutilisable.
- Le jeu élargi contient 155 domaines racines ; des composants de phishing par code d’appareil sont observés en relation avec 97 d’entre eux.
Comprendre les mécanismes et les enseignements
- Une page de connexion authentique peut finaliser une demande frauduleuse si l’utilisateur n’en connaît pas l’origine. La prévention doit expliquer ce que le code autorise et demander de vérifier l’application attendue, au lieu de s’appuyer uniquement sur le domaine affiché.
- L’apparence changeante des pages ne suffit pas à distinguer des campagnes. Les relations de code, d’API et de parcours peuvent fournir une base de regroupement plus stable, à condition de conserver la provenance et la date des observations utilisées.
Les vérifications défensives utiles
- Évaluer les besoins réels de l’organisation en authentification par code d’appareil et limiter ce flux avec les politiques disponibles lorsque cela est compatible. Tester les applications concernées et tenir à jour les exceptions autorisées pour éviter une dépendance non documentée.
- Former les salariés à refuser les codes fournis par un document inattendu, une proposition commerciale ou un faux partage. Ouvrir le service depuis son point d’entrée habituel et demander confirmation à un contact connu si le parcours d’accès paraît nouveau.
- En cas de validation d’un code suspect, révoquer les sessions et examiner les événements d’identité, les autorisations et les accès aux données. Préserver le message et les redirections, rechercher les autres destinataires et vérifier les usages ultérieurs du compte avant de clôturer l’incident.
Portée et limites
Les 155 domaines ne représentent pas autant de victimes ni autant d’opérateurs. Les composants ne sont observés que pour une partie du jeu élargi. L’analyse d’un kit distinct ne signifie pas que la technique Device Code est nouvelle ni qu’une vulnérabilité de Microsoft a été démontrée.
Rapport original
MadApe: The Code That Opens the Door — www.group-ib.com.