Des chercheurs en cybersécurité ont mis au jour une nouvelle boîte à outils de phishing de type homme‑du‑milieu, baptisée NovaCookies. Son objectif : détourner des connexions Microsoft 365 en jouant le rôle de relais, tout en récupérant les sessions authentifiées au moment où l’utilisateur saisit son mot de passe puis ses codes de vérification (MFA). Dans la pratique, NovaCookies AitM vise à transformer une tentative de connexion légitime en collecte de données d’accès exploitables.
Les éléments publiés décrivent un service d’abonnement, pensé pour être utilisé à l’échelle, y compris par des opérateurs disposant de peu de compétences techniques. Les campagnes observées ont touché des centaines d’organisations dans plusieurs pays, dont les États‑Unis, le Royaume‑Uni, le Canada, l’Allemagne, Israël et les Émirats arabes unis.
Comment fonctionne NovaCookies AitM
Le principe central de NovaCookies AitM repose sur un relais de connexion contrôlé par l’attaquant. Les chercheurs indiquent que l’infrastructure malveillante est conçue pour rediriger l’authentification vers le système de l’attaquant, puis relayer en temps réel vers Microsoft au fur et à mesure que l’utilisateur s’authentifie.
Une fois la victime arrivée sur l’environnement frauduleux, le kit collecte les informations nécessaires à la connexion : identifiants, puis éléments liés à la MFA. Le résultat recherché n’est pas uniquement l’obtention de “données de connexion”, mais la capacité à réutiliser la session issue d’une authentification réussie.
Des leurres qui semblent crédibles
Dans les campagnes observées, le phishing s’appuie sur des déclencheurs qui ressemblent à des notifications ou des partages documentaires attendus. Un détail particulièrement révélateur : certains messages utilisent de vrais enveloppements Docusign pour transporter des incitations contrefaites.
Concrètement, la victime reçoit un message de type “partage de document”. Au lieu de mener directement vers un site malveillant, certaines chaînes prévoient des étapes de redirection via des points d’entrée d’authentification réellement utilisés par Microsoft ou Google. Cette mise en scène permet de donner une impression de confiance jusqu’au moment où le navigateur atteint l’infrastructure contrôlée par l’attaquant.
Les chercheurs soulignent l’intérêt de cette approche : plusieurs “morceaux” semblent légitimes séparément (service de livraison, redirection vers un fournisseur d’identité, page de connexion familière). La bascule vers l’événement frauduleux se fait au niveau du navigateur, lorsque les éléments finissent par former un tout.
Docusign comme leurre : ce qui est réellement malveillant
Une chaîne d’attaque met en avant des notifications Docusign jouant le rôle de leurres. Le message est présenté comme un avis de partage, indiquant par exemple qu’un service comptable a partagé un PDF relatif à une remise, et invitant le destinataire à l’ouvrir.
Le point critique est que le contenu malveillant ne se trouve pas “dans le corps” du message, mais dans le document. Selon les informations communiquées, le lien de destination malveillant se situe à l’intérieur du PDF, sous une couche que de nombreux produits de sécurité mail n’inspectent pas en profondeur.
Cette configuration contourne une partie des contrôles habituellement basés sur l’analyse de l’email et des liens visibles : tant que l’utilisateur n’ouvre pas le document partagé, le mécanisme reste “endormi”.
Redirections OAuth et collecte en temps réel
Après le passage initial, l’attaque exploite une technique de redirection en cas d’erreur OAuth. Le but est d’orienter la victime vers des ressources contrôlées par l’attaquant, selon un scénario décrit comme faisant écho à une méthode déjà détaillée par Microsoft plus tôt dans l’année.
De manière générale, les chercheurs décrivent l’infrastructure de NovaCookies comme un relais AitM “vivant”, capable d’absorber la connexion de la victime et de la restituer à Microsoft en temps réel. Cette simultanéité renforce l’efficacité : la victime croit qu’elle se connecte normalement, tandis que le système malveillant capture ce qui lui permet de rejouer ou d’exploiter l’accès.
Une offre orientée “phishing‑as‑a‑service”
Les analyses indiquent que NovaCookies est commercialisé comme un service structuré. Il s’agit d’un modèle de type Phishing‑as‑a‑Service (PhaaS) où des affiliés paient pour utiliser une plateforme.
À la différence de certains modèles où chaque affilié gère une partie de l’infrastructure, ici l’hébergement et l’exécution de composantes clés sont gérés au centre par l’opérateur du service. En bref, le kit est conçu pour abaisser le seuil technique : l’affilié n’a pas besoin de construire l’ensemble du dispositif.
Éléments associés à Sneaky 2FA
Proofpoint estime que NovaCookies constitue une variante du kit de phishing Sneaky 2FA. Là où Sneaky2FA visait surtout les comptes Microsoft, la version liée à NovaCookies intégrerait des parcours dédiés pour d’autres fournisseurs d’identité.
Parmi les exemples mentionnés : des flows adaptés à Okta et à des domaines Entra fédérés à GoDaddy. Cette capacité à étendre les trajectoires d’authentification contribue à la portée des campagnes.
Domaines, masquage et contrôles anti‑analyse
Les chercheurs rapportent que plusieurs domaines leurres observés seraient hébergés sur le domaine .vu, avec des exemples du type “fordmotbvmorcompany[.]vu”. Pour renforcer l’illusion de crédibilité, certains URL utilisent des labels en alternance de casse (ex. des motifs tels que “PwPt‑sHaRe”, “Ms36‑AcCeSs” ou “ClOd‑ViEw”), visant à imiter des libellés associés à des services attendus.
En parallèle, NovaCookies AitM inclurait des mécanismes pour éviter l’analyse automatisée et retarder le moment où la page de connexion frauduleuse s’affiche. Les informations mentionnent notamment une “porte” basée sur Cloudflare et des détections liées au passage d’exécution associé à des outils de débogage.
L’approche est décrite comme modulaire : chaque étape peut sembler légitime isolément. Ce n’est qu’une fois assemblée dans le navigateur de la victime que l’ensemble déclenche l’événement frauduleux.
Un phénomène plus large : l’industrialisation du vol d’accès
La divulgation autour de NovaCookies s’inscrit dans une tendance plus large : la multiplication des kits PhaaS, accessibles via abonnement, qui permettent d’exécuter des campagnes de phishing à grande échelle. Les chercheurs indiquent que ces offres réduisent le besoin d’expertise technique et accélèrent la production de campagnes.
Plusieurs services apparus récemment illustrent cette “commoditisation” du phishing, par exemple des plateformes spécialisées en vishing (fraude vocale via appels) ou des kits orientés vers des flux d’authentification spécifiques. D’autres modèles se concentrent sur l’usurpation de marques, l’automatisation de l’analyse de boîte mail ou l’exploitation de parcours OAuth particuliers.
Le message pour les équipes de sécurité est clair : l’activité ne se limite pas à une seule famille d’attaque. Elle montre un marché où les briques nécessaires (décors de courrier, pages de capture, gestion de parcours) sont achetées en tant que service.
Quand des acteurs abusent d’applications légitimes
Au-delà des emails et pages de connexion, un autre signal mentionné par les chercheurs concerne l’abus de comptes sur des plateformes légitimes. Un acteur identifié comme DOUBLOON DREDGER aurait été observé utilisant des comptes Notion pour inviter des cibles à consulter un PDF contenant un lien malveillant.
Selon les informations partagées, l’objectif de cette manœuvre serait d’obtenir à la fois : un expéditeur email crédible, une infrastructure réputée, et un support d’hébergement permettant de rendre la campagne plus difficile à repérer. Les PDF utilisés pourraient inclure des techniques de redondance (plusieurs liens superposés) pour augmenter la durée de vie du contenu malveillant.
Ce que les organisations peuvent retenir
NovaCookies AitM montre comment une attaque peut rester “proche de l’usage normal” : notifications crédibles, redirections vers des endpoints d’authentification connus, et récupération de session pendant que l’utilisateur suit un parcours de connexion familier.
Sans entrer dans des détails opérationnels, les éléments les plus utiles pour la défense se résument ainsi :
- Surveiller les partages documentaires et les avis de notifications, même lorsqu’ils semblent provenir d’un service connu.
- Renforcer la protection contre les contenus malveillants dans les pièces jointes (par exemple les documents partagés).
- Être attentif aux redirections et aux comportements d’authentification inhabituels lors des connexions Microsoft 365.
- Revoir les contrôles d’analyse et les procédures de réponse aux événements de connexion suspects.
Conclusion
Avec NovaCookies AitM, les attaquants cherchent à transformer une connexion Microsoft 365 en collecte de sessions authentifiées. Le mélange de leurres crédibles (dont des notifications Docusign) et de redirections d’authentification permet d’augmenter le réalisme perçu par la victime, tandis que l’infrastructure relaye l’authentification en temps réel.
Dans un contexte où les modèles PhaaS se multiplient, cette annonce rappelle l’importance d’une approche défensive couvrant aussi bien le courrier que les flux d’authentification, ainsi que l’inspection des contenus partagés au sein des documents.
Source: https://thehackernews.com/2026/08/novacookies-campaigns-abuse-genuine.html
