Le phishing passe à la vitesse supérieure : Starkiller Suite et l’essor du contournement industriel de la MFA

Imaginez la scène : vous recevez un SMS de votre banque, cliquez sur un lien et tombez sur une page de connexion qui semble parfaite - jusqu’au moindre pixel. Vous saisissez vos identifiants, validez la demande d’authentification multifacteur, et pensez être en sécurité. Mais quelque part dans l’ombre, un attaquant observe chaque frappe en temps réel, grâce à une nouvelle génération de plateformes de phishing qui réécrivent les règles du jeu.

Starkiller, la dernière création du groupe cybercriminel Jinkusu, marque un tournant majeur dans les tactiques de phishing. Contrairement aux anciennes arnaques par email avec des sites d’imitation grossiers, Starkiller exploite un navigateur Chrome sans interface, exécuté dans un conteneur Docker, pour servir en proxy des pages de connexion légitimes en direct. Cela signifie que les victimes voient le vrai site - relayé via une infrastructure contrôlée par l’attaquant - rendant la contrefaçon presque indiscernable de l’original. Chaque clic, mot de passe et code de session est récolté, même si l’authentification multifacteur (MFA) est activée.

Ce qui rend Starkiller vraiment dangereux, c’est son accessibilité. La suite propose un tableau de bord élégant où les aspirants attaquants peuvent choisir les marques à usurper, personnaliser leurs appâts de phishing avec des mots-clés comme « sécurité » ou « vérifier », et générer automatiquement des URL masquées via des services comme TinyURL. Plus besoin d’expertise technique - le phishing devient une opération en quelques clics.

Cette tendance ne se limite pas à Starkiller. Le kit 1Phish, à l’origine un simple collecteur d’identifiants, inclut désormais des attaques en plusieurs étapes avec empreinte préalable, capture de codes à usage unique et des mesures anti-bot sophistiquées. Chaque mise à jour vise à maximiser les taux de réussite, contourner la détection et s’emparer des facteurs d’authentification secondaires. Résultat ? Le phishing devient un service, avec une infrastructure, un déploiement et une supervision rationalisés - le tout depuis un unique panneau de contrôle.

Ces derniers mois, ces techniques ont été observées sur le terrain. Des attaquants ont ciblé des entreprises et professionnels nord-américains en abusant du flux d’autorisation d’appareils OAuth de Microsoft. Les victimes sont incitées à saisir un code sur une véritable page de connexion Microsoft, ce qui transmet silencieusement des jetons d’accès aux attaquants. Parallèlement, des banques et coopératives de crédit américaines ont subi des vagues d’attaques utilisant des domaines ressemblants, de faux délais CAPTCHA et des tactiques d’évasion à plusieurs niveaux pour tromper aussi bien les humains que les outils de sécurité automatisés.

Ce qui relie ces campagnes, c’est une volonté acharnée d’abaisser la barrière technique de la cybercriminalité. En rendant les tactiques de phishing avancées accessibles « en tant que service », des groupes comme Jinkusu démocratisent la prise de contrôle de comptes à une échelle et un niveau de sophistication inédits. Les défenses traditionnelles - notamment la MFA - ne sont plus une solution miracle. La course à l’armement continue, défenseurs et attaquants étant engagés dans un jeu d’innovation et de tromperie à haut risque.

Alors que le phishing devient plus industrialisé et accessible, organisations et particuliers doivent repenser leur approche de l’authentification et de la vigilance. À l’ère de Starkiller, la confiance - autrefois fondée sur des écrans de connexion familiers et la MFA - exige désormais un scepticisme accru et des défenses plus intelligentes.

WIKICROOK

• Proxy inversé : Un proxy inversé est un serveur qui s’intercale entre les utilisateurs et un service web, masquant la localisation réelle du service et le protégeant des attaques directes.
• Multi : Multi désigne l’utilisation combinée de différentes technologies ou systèmes - comme les satellites LEO et GEO - pour améliorer la fiabilité, la couverture et la sécurité.
• Jeton de session : Un jeton de session est un code numérique unique qui maintient les utilisateurs connectés à des sites ou applications. S’il est volé, les attaquants peuvent accéder aux comptes sans mot de passe.
• Navigateur sans interface : Un navigateur sans interface est un navigateur web sans affichage graphique, utilisé pour des tâches automatisées comme les tests, le scraping ou le vol de données furtif.
• OAuth : OAuth est un protocole permettant aux utilisateurs de donner accès à leurs comptes à des applications sans partager leur mot de passe, améliorant la sécurité mais comportant aussi certains risques.