Redirections OAuth : la nouvelle porte dérobée dans les attaques de logiciels malveillants visant les gouvernements

OAuth est censé rendre la connexion plus sûre et plus simple, permettant aux utilisateurs d’accéder à plusieurs services avec un seul compte de confiance. Mais cette commodité même est devenue une arme à double tranchant. L’équipe de sécurité de Microsoft a découvert des campagnes de phishing qui ne volent pas les mots de passe et n’exploitent pas de failles logicielles. À la place, elles manipulent les mécanismes de redirection normaux d’OAuth - des fonctionnalités conçues pour gérer les erreurs ou le parcours utilisateur - et les détournent à des fins malveillantes.

Voici comment le stratagème fonctionne : les cybercriminels créent une application malveillante sous leur propre locataire cloud et définissent son URL de redirection vers un domaine frauduleux. Les victimes reçoivent des e-mails de phishing - souvent conçus pour imiter des communications gouvernementales ou professionnelles urgentes - contenant des liens OAuth. Lorsqu’un utilisateur clique, il est invité à se connecter avec un fournisseur de confiance comme Entra ID ou Google Workspace. Mais à cause d’un champ de portée volontairement invalide dans la requête, le comportement standard d’OAuth est déclenché : l’utilisateur est redirigé, non pas vers un endroit sûr, mais directement vers le site hébergeant le malware de l’attaquant.

Le malware arrive sous la forme d’une archive ZIP. À l’intérieur, un raccourci Windows piégé (LNK) lance des commandes PowerShell pour la reconnaissance de l’hôte, tandis qu’un installateur MSI caché dépose un document leurre et charge une DLL malveillante. La charge finale est déchiffrée en mémoire et se connecte à un serveur externe, plaçant le système de la victime sous le contrôle total de l’attaquant. Dans certains cas, les attaques vont jusqu’au vol d’identifiants grâce à des frameworks avancés d’adversaire-intermédiaire comme EvilProxy.

Pour renforcer la légitimité, les attaquants encodent l’adresse e-mail de la victime dans le paramètre d’état OAuth, rendant les pages de phishing personnalisées et crédibles. Des outils d’envoi massif et des scripts personnalisés en Python et Node.js ont permis de distribuer ces e-mails à grande échelle, souvent en intégrant les liens directement ou dans des PDF.

Microsoft a réagi en supprimant les applications OAuth malveillantes connues et exhorte les organisations à restreindre les autorisations des applications, à auditer régulièrement les accès et à supprimer les applications inutiles ou à risque. Mais l’avertissement est clair : à mesure que les attaquants exploitent de plus en plus les protocoles de confiance, la frontière entre légitime et malveillant devient dangereusement mince.

Alors que les mécanismes de confiance numérique deviennent des champs de bataille, chaque connexion pourrait être une embuscade potentielle. La leçon pour les défenseurs est sans appel : la sécurité ne consiste pas seulement à bloquer les menaces évidentes - il s’agit de remettre en question les systèmes mêmes auxquels nous faisons le plus confiance.