Knight Office montre pourquoi le vol de session Microsoft 365 doit être traité comme un incident d’identité

La campagne Knight Office rappelle une limite essentielle de la MFA : elle valide une connexion, mais ne protège pas automatiquement la session créée ensuite. Dans l’incident étudié par Huntress, une chaîne de phishing adversary-in-the-middle (AiTM, ou « adversaire au milieu ») a permis de capturer des éléments de session Microsoft 365, avant l’inscription non autorisée d’un appareil dans Microsoft Entra ID. Il faut donc parler d’un compromis d’identité, et non d’un simple vol de mot de passe. 640

Comment fonctionne la chaîne d’attaque Knight Office

La séquence observée commence par un courriel de phishing imitant DocuSign. Le lien transite par un service de suivi Monday.com, puis par un site Joomla compromis. Ces redirections masquent la destination finale du phishing aux contrôles de réputation et à une inspection sommaire du lien. 6

La page d’arrivée peut imiter un parcours de connexion ou de collaboration Microsoft suffisamment crédible pour conduire la victime à poursuivre son authentification, notamment dans une interaction de type code d’appareil. L’objectif est de lui faire approuver un processus qu’elle croit légitime.

La composante AiTM se comporte comme un proxy inverse entre la victime et le véritable service de connexion Microsoft :

1. La victime saisit ses identifiants et valide normalement la demande MFA.
2. Le proxy relaie ces échanges vers Microsoft en temps réel.
3. Une fois l’authentification réussie, l’attaquant récupère le cookie de session authentifiée ou d’autres éléments de jeton renvoyés au navigateur.
4. Il rejoue ensuite cet état authentifié depuis sa propre infrastructure afin d’accéder au compte.

Cela ne signifie pas que la cryptographie de la MFA a été cassée. L’attaquant vole l’état d’autorisation généré après la MFA. Microsoft définit le vol de jeton comme la compromission et le rejeu de jetons émis pour un utilisateur ayant déjà pu satisfaire une authentification multifacteur. 40

Pourquoi réinitialiser le mot de passe peut ne pas suffire

Une session de navigateur dérobée, ou un accès dérivé d’un jeton d’actualisation, peut permettre à l’intrus de poursuivre ses opérations sans nouvelle demande de mot de passe ni MFA, tant que les jetons concernés ne sont pas révoqués. Microsoft recommande explicitement de bloquer les utilisateurs ou appareils affectés et de révoquer les jetons en cours. 40

Knight Office est particulièrement préoccupant car l’activité post-compromission rapportée comprend l’inscription d’un hôte non autorisé dans Microsoft Entra ID ainsi que la configuration d’identifiants Windows Hello for Business contrôlés par l’attaquant. 6 Cette étape peut créer un chemin d’authentification distinct : après la révocation de la session web initiale ou la réinitialisation du mot de passe, il faut vérifier qu’aucun appareil non autorisé ni aucune nouvelle méthode d’authentification ne subsiste.

Cette logique de persistance a aussi été documentée dans les recherches sur le phishing par code d’appareil. Microsoft indique qu’un jeton d’actualisation obtenu via un flux de code d’appareil détourné peut servir à demander un accès au service d’enregistrement des appareils, puis à inscrire dans Entra ID un appareil contrôlé par l’attaquant. 28

Phishing par code d’appareil : proche de l’AiTM, mais différent

Le phishing AiTM relaie une connexion en direct et vole la session qui en résulte. Le phishing par code d’appareil détourne, lui, un flux OAuth légitime d’autorisation par appareil : l’attaquant initie une demande de code, convainc la victime de saisir ce code et de s’authentifier, puis obtient des jetons pour son client contrôlé si la victime approuve l’opération. 22

Dans les deux cas, l’objectif n’est plus seulement de récupérer un mot de passe, mais de mettre la main sur des artefacts d’autorisation utilisables. La détection doit donc couvrir ces deux voies. Les recommandations d’Elastic mettent notamment en avant les connexions Entra interactives réussies employant le protocole de code d’appareil avec le client Microsoft Authentication Broker et demandant l’accès à des ressources Microsoft de premier plan, comme Exchange Online, Microsoft Graph ou SharePoint. 17

Activité observée et montée des kits PhaaS

L’enquête de Huntress a établi une séquence d’intrusion Knight Office : leurre documentaire, redirections multiples, capture de jetons de session et inscription non autorisée d’un appareil Entra. Huntress a également relié, dans sa télémétrie, des rejouements répétés de jetons à une même adresse IP ; cette observation ne doit toutefois pas être interprétée comme un nombre mondial de victimes. 6

Knight Office s’inscrit dans un marché plus large de kits de phishing-as-a-service (PhaaS) visant les sessions d’identité Microsoft 365 :

• Mirage2FA s’appuie sur une infrastructure AiTM pour récupérer identifiants et sessions authentifiées. ANY.RUN a signalé 9 332 événements potentiels de compromission entre 2024 et 2026, dont 4 561 événements de vol de cookies. Il s’agit d’événements potentiels issus de télémétrie, et non d’un décompte de victimes confirmées. 4
• Kali365, observé pour la première fois en avril 2026 et principalement diffusé via Telegram, a fait l’objet d’une alerte du FBI en raison de sa capacité à obtenir des jetons OAuth d’accès et d’actualisation Microsoft 365. 1

La leçon défensive est simple : les abus de sessions et de jetons doivent être protégés, détectés et traités avec le même niveau d’urgence qu’un vol de mot de passe.

Priorités de détection dans Entra ID et Microsoft 365

La corrélation de plusieurs signaux est plus utile qu’une alerte isolée.

1. Rechercher les rejouements de session suspects

Examiner les connexions où un même compte ou une même session apparaît, dans un délai court, depuis des adresses IP, réseaux, zones géographiques, navigateurs ou propriétés d’appareil sensiblement différents — surtout juste après une MFA réussie. Microsoft signale des détections d’utilisation anormale de jetons et de propriétés de connexion inhabituelles liées aux cookies de session. 38

2. Traquer les usages suspects du code d’appareil

Analyser les authentifications réussies par code d’appareil et déterminer si le client, l’IP source, la ressource demandée et le comportement de l’utilisateur sont cohérents. Dans les journaux de connexion Entra, cette activité peut être identifiée par des champs tels que authenticationProtocol: deviceCode et originalTransferMethod: deviceCodeFlow. 26

3. Surveiller les changements de persistance

Donner la priorité aux événements d’audit Entra concernant :

• les nouvelles inscriptions ou jonctions d’appareils, les changements de propriétaire ou les identifiants d’appareil inhabituels ;
• l’ajout de nouvelles méthodes Windows Hello for Business, FIDO2/passkeys, MFA ou de récupération ;
• les consentements applicatifs, modifications d’applications d’entreprise, principaux de service ou attributions de rôles privilégiés ;
• les changements de règles d’accès conditionnel, d’emplacements nommés, de fédération, de transfert de messagerie ou de règles de boîte de réception.

L’inscription d’un appareil non autorisé peu après une authentification suspecte doit être considérée comme un signal prioritaire de persistance d’identité. 2628

4. Croiser les preuves de messagerie et d’identité

Un message au thème DocuSign peut n’être que du spam ; un nouvel appareil Entra peut être légitime. En revanche, l’association d’un message suspect, de preuves de redirection, d’une MFA réussie, d’une réutilisation anormale de session et d’un changement d’appareil ou de méthode d’authentification est nettement plus exploitable.

Réponse à incident : contenir l’identité, pas seulement le mot de passe

Face à un soupçon de vol de jeton par AiTM ou par code d’appareil, adopter une procédure de confinement centrée sur l’identité.

1. Bloquer ou désactiver l’identité concernée si nécessaire. Désactiver les comptes utilisateur et appareil affectés pendant l’établissement du périmètre. 40
2. Révoquer les sessions et jetons d’actualisation en cours. Utiliser le processus Entra de révocation des sessions de connexion, puis forcer une nouvelle authentification. Microsoft recommande précisément la révocation via revokeSignInSessions en réponse au phishing par code d’appareil. 27
3. Réinitialiser les identifiants, sans s’arrêter là. La réinitialisation du mot de passe est une mesure complémentaire de confinement, pas la preuve que l’accès de l’attaquant a disparu. 4042
4. Supprimer la persistance. Identifier et retirer les appareils Entra non autorisés ; examiner leur propriété ; supprimer les méthodes récemment ajoutées — Windows Hello for Business, FIDO2, MFA, récupération et identifiants applicatifs — et vérifier les consentements. 628
5. Mener une chasse à l’échelle du tenant. Rechercher, chez tous les utilisateurs, les URL de leurres, infrastructures de redirection, IP sources suspectes, événements de code d’appareil, anomalies de connexion après MFA et nouvelles inscriptions d’appareils correspondants.
6. Évaluer l’impact métier. Examiner les activités Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth et administratives : accès aux données, règles de boîte, transferts, partages externes, abus de consentement, élévations de privilèges et accès aux applications reliées par SSO.
7. Conserver les éléments avant nettoyage. Préserver les messages de phishing et leurs en-têtes, les traces de messagerie, chaînes de redirection, journaux de connexion et d’audit Entra, enregistrements d’appareils, données de consentement OAuth et télémétrie de navigateur ou de poste de travail.

Réduire l’exposition avant le prochain leurre

L’authentification résistante au phishing est une protection importante pour les utilisateurs à risque, mais elle doit s’intégrer à une défense en profondeur. Microsoft recommande des méthodes résistantes au phishing, comme les clés de sécurité FIDO2, Windows Hello for Business et l’authentification par certificat, ainsi que des contrôles limitant la durée de vie des sessions sur les appareils non gérés. 39

Les organisations devraient aussi évaluer si le flux de code d’appareil est indispensable à leur environnement, limiter l’inscription d’appareils non autorisés, appliquer des stratégies d’accès conditionnel fondées sur la conformité des appareils et le risque, et s’assurer que les équipes opérationnelles peuvent révoquer rapidement les sessions tout en enquêtant sur les modifications des objets d’identité.

La leçon centrale de Knight Office n’est pas que la MFA a échoué. C’est qu’une MFA réussie peut marquer le début de la compromission lorsqu’un attaquant vole la session qui suit. Une réponse n’est complète qu’après vérification et confinement des sessions, appareils, méthodes d’authentification et accès délégués du tenant.