Un incident de sécurité ne commence pas toujours par un e-mail évident. Avec Kali365, l’attaque vise au contraire un point de confiance : le flux d’authentification. L’idée est simple et dangereuse : utiliser une connexion Microsoft « réelle » pour donner aux attaquants des jetons capables de maintenir l’accès à des ressources d’entreprise.
Dans cet article, nous expliquons comment se déroule le détournement d’authentification Microsoft, quels signaux peuvent apparaître en amont, et quelles priorités permettent de réduire le risque avant que l’incident ne se transforme en compromission plus large.
Comprendre le détournement d’authentification Microsoft
Kali365 fonctionne comme un kit de phishing de type device code qui abuse d’un mécanisme légitime d’authentification Microsoft. Au lieu d’afficher une fausse page de connexion « complètement inventée », l’attaque oriente la victime vers une étape où la demande de code et la validation semblent normales.
Une fois que la victime approuve la procédure sur la page d’authentification correspondante, l’attaquant peut obtenir des tokens d’accès et des tokens de rafraîchissement. Ces éléments sont essentiels : ils permettent potentiellement de conserver un accès après la connexion initiale.
Ce parcours crée un chemin direct vers l’exposition de données (courrier, documents, ressources cloud), mais aussi vers des scénarios de fraude financière et de perturbation des opérations. Et surtout, l’activité peut paraître « routine » au début, ce qui complique la détection rapide.
Comment l’attaque cible les organisations
Les observations liées à la campagne indiquent des connexions publiques associées à Kali365, avec une attention particulière portée aux entreprises situées aux États-Unis. Dans une des analyses, un leurre thématique inspiré de SharePoint est utilisé pour conduire la victime vers le flux d’authentification.
Le point clé ici n’est pas uniquement le contenu du leurre, mais le fait que l’authentification s’appuie ensuite sur un portail d’identification légitime. C’est précisément cette transition qui rend le détournement d’authentification Microsoft plus subtil qu’un phishing classique.
Le déroulé en trois étapes
L’attaque suit généralement une chaîne en trois phases. Comprendre l’enchaînement aide à mieux repérer où l’on doit agir : avant l’authentification, pendant les redirections, ou lors des premiers signes de l’obtention de tokens.
1) Le leurre (pages qui imitent des services de confiance)
La victime se voit présenter une page qui ressemble à un service d’entreprise fiable. Les exemples cités incluent des thèmes autour de SharePoint, OneDrive ou DocuSign. L’objectif est d’amener l’utilisateur à initier le processus d’authentification.
2) L’authentification sur le portail légitime
Ensuite, la page redirige la victime vers le portail device login de Microsoft. La victime doit saisir un code fourni par l’attaquant. À ce stade, l’activité peut sembler suivre un chemin d’accès normal, ce qui retarde la suspicion.
3) L’obtention de tokens via le processus approuvé
Une fois l’authentification complétée, l’attaquant peut récupérer des tokens d’accès et de rafraîchissement. Ces jetons peuvent ensuite soutenir un accès continu à Microsoft 365 : e-mail, documents et ressources cloud.
Dans les analyses, la chaîne complète peut être comprise rapidement (en l’espace d’environ une minute selon les scénarios de test), ce qui montre l’importance de réduire le délai de traitement pour éviter qu’un compte compromis ne devienne un incident plus large.
Pourquoi les conséquences peuvent être lourdes
Quand un utilisateur approuve une demande de device code, le risque ne s’arrête pas à cette session. L’attaque peut s’étendre et transformer une compromission individuelle en problème d’entreprise.
- Fraude financière : les comptes email compromis peuvent servir à manipuler des factures, faciliter des fraudes liées aux paiements ou des attaques de business email compromise.
- Exposition de données sensibles : accès possible au courrier interne, à des fichiers, à des informations clients et à des documents confidentiels.
- Perturbation opérationnelle : des accès non autorisés à des services cloud peuvent perturber la communication et les processus métiers.
- Coûts de réponse plus élevés : moins d’indicateurs évidents peuvent ralentir la détection et compliquer la mise en quarantaine.
- Risque de conformité et d’image : si des données réglementées ou clients sont exposées, des obligations de notification et une perte de confiance peuvent suivre.
Enfin, parce que la victime s’authentifie sur un portail Microsoft légitime, la séquence peut être difficile à distinguer d’un comportement normal, surtout tant que l’activité n’a pas été corrélée à d’autres signaux.
Réduire le risque : trois priorités concrètes
Le détournement d’authentification Microsoft ne se règle pas uniquement avec un filtrage d’e-mails. Les équipes de sécurité ont besoin de renseignements à jour sur la campagne, de mécanismes de validation plus rapides et d’une préparation à l’évolution de la menace.
1) Renforcer la détection avec des indicateurs exploitables
Les opérateurs de Kali365 peuvent faire évoluer les éléments observables de leurs campagnes : domaines, URLs et infrastructures d’hébergement. Autrement dit, des indicateurs confirmés aujourd’hui peuvent devenir obsolètes rapidement.
Pour limiter les « angles morts », il faut transférer les nouveaux IOC vers les outils de sécurité pertinents : SIEM, SOAR, TIP, pare-feu et autres contrôles capables de compléter les alertes, de permettre des recherches rétrospectives et de guider les décisions de blocage.
Les flux de renseignements s’appuient sur des analyses en sandbox. Les indicateurs renvoient aux sessions où ils ont été observés, ce qui aide à vérifier la menace et à relier d’éventuelles infrastructures associées.
2) Donner aux équipes de niveau 1 les preuves pour agir
Quand la victime arrive à l’écran d’authentification légitime, le comportement peut paraître « normal ». C’est souvent en amont que se trouvent les signaux : page du leurre, redirections, éléments liés au navigateur, scripts et infrastructures contrôlées par l’attaquant.
Une sandbox interactive combine interactions manuelles et analyses automatisées pour révéler la chaîne de bout en bout. L’objectif est de réduire le temps nécessaire pour confirmer la nature malveillante : depuis la page de phishing jusqu’aux activités réseau et à la transition vers le flux d’authentification.
Des rapports automatisés rassemblent les verdicts, les IOC, les TTP et des éléments comportementaux. Cela permet aux équipes de niveau 1 d’agir plus vite, de transmettre des cas plus clairs et d’accélérer la mise en confinement avant que l’accès ne s’étende.
3) Transformer la recherche de menace en défense proactive
Au-delà d’une alerte isolée, il est utile d’explorer la campagne en cours via des données de renseignement. L’idée est d’obtenir le contexte : infrastructures connexes, sessions d’analyse pertinentes, captures du leurre et schémas de ciblage.
Par exemple, pour les activités centrées sur les États-Unis, une requête de recherche peut être utilisée avec un nom de menace et un pays de soumission afin d’identifier où Kali365 a été observé et quels éléments d’infrastructure peuvent être liés.
Ces analyses peuvent couvrir plusieurs secteurs (fabrication, technologie, santé, gouvernement, conseil, MSSP) et aider à déterminer l’ampleur potentielle. Des rapports de renseignement complètent ensuite l’approche en listant des campagnes actives, y compris des groupes et des opérations de phishing suivies par des analystes.
Agir avant l’abus de tokens
Le défi se situe sur un maillon souvent considéré comme « fiable par défaut » : l’authentification cloud. Le bon angle pour le détournement d’authentification Microsoft consiste à rendre détectable la manipulation d’un flux légitime, à remonter vers la source et à contenir l’accès avant que la compromission ne se matérialise sur les systèmes critiques (e-mail, fichiers et applications métiers).
Les organisations qui s’appuient sur des approches basées sur des preuves et des données de campagne rapportent généralement des gains opérationnels : triage plus rapide, diminution du temps moyen de rétablissement, réduction de la charge pour le niveau 1 et moins d’escalades entre équipes. Le bénéfice final est double : réduire les coûts de réponse et limiter le temps disponible pour que des tokens abusés se transforment en fraude, exposition de données ou perturbation opérationnelle.
Conclusion
Kali365 illustre une menace où le phishing ne se contente pas de tromper : il détourne un flux d’authentification Microsoft pour obtenir des tokens et maintenir un accès. Le risque pour les entreprises dépasse la simple prise d’un compte, avec des impacts possibles sur la fraude financière, la fuite de données et la continuité des opérations.
Pour réduire ce danger, les équipes doivent combiner intelligence de campagne actionnable, validation rapide des signaux en amont (leurre, redirections, comportement navigateur) et préparation proactive basée sur des preuves. C’est ainsi que le détournement d’authentification Microsoft peut être stoppé avant d’atteindre les systèmes les plus sensibles.
Source: https://thehackernews.com/2026/08/kali365-weaponizes-microsoft.html
