Les cybercriminels adaptent leurs techniques pour contourner les protections traditionnelles en s’infiltrant directement dans les processus informatiques du quotidien. Une série d’analyses techniques publiées par des chercheurs en sécurité met en évidence cinq menaces actives qui exploitent des services institutionnels réputés fiables pour compromettre des réseaux professionnels.
Le détournement de l’authentification par code d’appareil
Plusieurs kits d’hameçonnage récents, baptisés SkyW4lker et Mir0Auth, ainsi que l’infrastructure GeorgeGinx, concentrent leurs efforts sur la procédure légitime d’authentification par code d’appareil de Microsoft (Device Code). Plutôt que de tenter d’intercepter des identifiants ou de forcer les mécanismes d’authentification multifacteur, les assaillants envoient des courriels piégés sous forme de factures ou de documents partagés via des services comme Adobe.
La victime est alors redirigée vers une page Microsoft authentique pour y saisir un code transmis par le pirate. Dès la validation effectuée, l’attaquant récupère un jeton d’accès officiel à l’environnement Microsoft 365 de la cible, lui ouvrant l’accès aux communications internes et aux données confidentielles sans jamais posséder le mot de passe du compte.
Fausses applications d’IA et chevaux de Troie
L’attrait massif pour les outils d’intelligence artificielle constitue le second vecteur majeur exploité par les pirates. Plus de 1 200 incidents techniques ont été reliés à de faux logiciels et invitations à des conférences usurpant les noms de ChatGPT ou de Claude. Dans certains cas, l’installateur exécute une version réelle de l’outil pendant qu’un script invisible extrait les cookies de session des navigateurs, garantissant un accès immédiat aux comptes professionnels.
Dans le même registre d’attaques furtives, le cheval de Troie WKLP a été repéré ciblant des institutions publiques en France et aux États-Unis. Développé en Python, ce logiciel espion manipule les règles du pare-feu et neutralise les processus de sécurité pour maintenir un accès persistant sur les serveurs compromis.
Face à la professionnalisation de ces attaques qui transforment des fonctionnalités légitimes en failles d’accès, la sécurisation des architectures cloud passe désormais par une restriction stricte des protocoles d’autorisation et une vérification continue des sessions actives.
Source : The Hacker News
