Une vague d'attaques en août a détourné des sessions Microsoft 365 via un abus des outils RMM

Une vague d'attaques fondée sur la confiance quotidienne

Tout au long du mois d'août, les chercheurs en sécurité ont suivi un ensemble de cyberattaques aux États-Unis et en Europe qui ne reposaient pas sur des malwares exotiques ou des exploits zero-day. Au lieu de cela, les attaquants ont transformé les outils que les entreprises utilisent chaque jour — les connexions Microsoft 365, les logiciels de surveillance et de gestion à distance (RMM) et les documents professionnels courants — en voies de compromission.

C'est ce qui rend cette campagne remarquable. Plutôt que de franchir des pare-feu ou d'exploiter des logiciels non corrigés, les attaquants se sont appuyés sur le fait que les employés font confiance aux plateformes auxquelles ils se connectent chaque matin et aux fournisseurs qui gèrent à distance leurs systèmes informatiques. Cette confiance, une fois abusée, devient l'une des surfaces d'attaque les plus efficaces qui soient.

Comment fonctionne le détournement de session Microsoft 365

Au cœur de cette campagne se trouve une technique connue sous le nom de détournement de session. Plutôt que de voler directement un nom d'utilisateur et un mot de passe, les attaquants interceptent ou volent le jeton d'authentification, ou « cookie de session », que Microsoft 365 génère après qu'un utilisateur s'est connecté avec succès et a complété l'authentification multifactorielle. Étant donné que ce jeton prouve que la session est déjà vérifiée, un attaquant qui l'obtient peut effectivement devenir l'utilisateur connecté sans jamais avoir besoin du mot de passe d'origine.

Cela importe parce que l'authentification multifactorielle, longtemps considérée comme une défense solide contre le vol d'identifiants, n'empêche pas un attaquant qui a déjà capturé une session valide. L'événement de connexion s'est déjà produit légitimement du point de vue de la victime. Une fois à l'intérieur, les attaquants peuvent accéder aux e-mails, aux fichiers partagés, aux calendriers et aux communications internes liés à ce compte Microsoft 365, souvent sans déclencher le type d'alertes qu'une tentative de connexion échouée ou une notification de nouvel appareil soulèverait.

Les outils de gestion à distance et les documents professionnels comme points d'entrée

La même campagne d'août s'est également appuyée sur les logiciels de surveillance et de gestion à distance (RMM), le type d'outil que les services informatiques et les fournisseurs de services gérés utilisent pour installer des mises à jour, résoudre des problèmes et maintenir des systèmes à distance. Lorsque les attaquants obtiennent l'accès à ces outils, soit en détournant des identifiants, soit en exploitant des configurations faibles, ils héritent du même niveau d'accès de confiance qu'un administrateur informatique légitime. Cela peut signifier la capacité de pousser des fichiers, d'exécuter des commandes ou de se déplacer à travers un réseau entier d'appareils connectés avec un minimum de friction.

Les documents professionnels courants ont également joué un rôle. Les fichiers qui ressemblent à des factures, des contrats ou des notes internes restent l'un des moyens les plus fiables d'amener un employé à cliquer sur un lien ou à ouvrir une pièce jointe, précisément parce qu'ils ne semblent pas suspects. Combinés au détournement de session et à l'abus des RMM, un seul document convaincant peut être le premier domino d'une intrusion bien plus vaste.

Ce schéma fait écho à une tendance plus large dans le domaine de la répression de la cybercriminalité, où les autorités ont de plus en plus ciblé l'infrastructure et les individus derrière les attaques à grande échelle plutôt que de simples incidents isolés. Des actions de sanctions comme celle contre l'administrateur de l'opération ransomware Trickbot montrent comment les gouvernements tentent de perturber l'écosystème qui rend ces campagnes rentables, même si de nouvelles variations d'anciennes techniques continuent d'apparaître.

Ce que cela signifie pour vous

Pour la plupart des individus, cette campagne est un rappel que les mots de passe forts et même l'authentification multifactorielle ne constituent pas un filet de sécurité complet si un jeton de session peut être volé par hameçonnage ou par malware. Pour les employés des petites et moyennes entreprises en particulier, où les ressources informatiques peuvent être limitées et où les outils RMM sont couramment utilisés par des fournisseurs externes, le risque de ce type d'abus est réel.

Si vous utilisez Microsoft 365 pour le travail, soyez attentif aux invites inattendues de ré-authentification, aux emplacements de connexion inconnus signalés dans les notifications de sécurité, ou aux demandes d'approbation d'un appareil que vous ne reconnaissez pas. Si votre organisation dépend d'un fournisseur informatique tiers utilisant un logiciel de gestion à distance, il vaut la peine de demander comment cet accès est sécurisé et surveillé. Et comme toujours, traitez les documents inattendus, en particulier ceux qui incitent à une action rapide, avec un scepticisme sain avant de les ouvrir.

Mesures concrètes à prendre

• Examinez périodiquement les journaux d'activité de connexion Microsoft 365 et signalez immédiatement toute session ou tout emplacement inconnu.
• Demandez à votre fournisseur informatique ou à votre équipe interne comment l'accès aux logiciels RMM est authentifié et si une surveillance des sessions est en place.
• Évitez d'ouvrir des documents professionnels, des factures ou des pièces jointes inattendus sans vérifier l'expéditeur par un canal distinct.
• Envisagez d'activer des politiques d'accès conditionnel et des fenêtres de délai d'expiration de session plus courtes pour les comptes cloud lorsque cela est possible.
• Restez informé sur la façon dont les attaquants s'adaptent pour contourner l'authentification multifactorielle, car le détournement de session Microsoft 365 montre que l'AMF seule n'est pas une défense garantie.

La vague d'attaques d'août n'a pas eu besoin de malwares sophistiqués pour réussir. Elle a réussi en exploitant la confiance quotidienne que les entreprises placent dans des connexions familières, des fournisseurs familiers et des types de fichiers familiers. Rester vigilant face à cette réalité est l'une des défenses les plus simples et les plus efficaces disponibles.