Vaste campagne de pulvérisation de mots de passe contre Microsoft 365

Exploitation du flux ROPC : le mécanisme de compromission

Mais le succès de cette campagne repose avant tout sur l’exploitation du flux ROPC (Resource Owner Password Credentials). Ce mécanisme OAuth 2.0 permet aux attaquants de valider les identifiants utilisateur directement au point de terminaison « /token », rendant possible la validation des identifiants dans le cadre de cette campagne de pulvérisation.

Le flux ROPC, bien que souvent présent dans les configurations patrimoniales, transmet le nom d’utilisateur et le mot de passe au point de terminaison « /token » sans nécessiter une interaction moderne de type MFA. Ce point est crucial : il permet aux attaquants de valider les identifiants sans nécessairement déclencher les contrôles de sécurité les plus récents.

Les failles contextuelles de l’authentification MFA

Ainsi, l’efficacité de la campagne est directement liée à des lacunes dans l’implémentation de l’authentification à facteurs multiples (MFA). Cela commence par l’étendue de son application : dans les cas observés, elle était souvent limitée aux seuls portails administratifs, laissant les connexions via Azure CLI vulnérables à cette campagne.

En outre, l’activation de la MFA était parfois restreinte à certains groupes d’utilisateurs spécifiques, laissant les comptes compromis en dehors de ce périmètre. Enfin, les contrôles de localisation basés sur l’adresse IP pouvaient être contournés, notamment lorsque les adresses IP utilisées par les attaquants étaient mal géolocalisées ou lorsqu’une adresse IP était utilisée pour masquer une activité provenant de différentes régions.

Ces faiblesses rappellent que, si le MFA est présent, sa configuration peut s’avérer insuffisamment robuste pour couvrir l’intégralité des vecteurs d’authentification utilisés par les attaquants.