Adversary-in-the-Middle (AiTM)

Définition

L'Adversary-in-the-Middle (AiTM, anciennement Man-in-the-Middle) désigne une catégorie d'attaques où l'attaquant s'interpose entre deux parties communicantes pour intercepter, modifier ou relayer les communications à leur insu. Les techniques modernes AiTM ciblent spécifiquement les sessions web authentifiées avec MFA pour voler les cookies de session après authentification, contournant ainsi la protection MFA. Les attaques AiTM modernes (popularisées par Evilginx, Modlishka) utilisent un proxy inverse de phishing : au lieu de créer une fausse page de connexion statique, l'attaquant déploie un reverse proxy qui transmet les requêtes entre la victime et le vrai service (Microsoft 365, Google, etc.). La victime s'authentifie sur le vrai service (y compris MFA), mais toutes les communications passent par le proxy de l'attaquant qui capture les cookies de session post-MFA. Evilginx2 est l'outil de référence pour les AiTM : il utilise des 'phishlets' (configurations spécifiques à chaque service ciblé) qui définissent les règles de proxy et les cookies à capturer. Des phishlets publics existent pour Microsoft 365, Google Workspace, Facebook, GitHub, et des dizaines d'autres services. La configuration DNS et TLS (Let's Encrypt via DNS-01 challenge) rend le proxy indistinguable du vrai service. Ces attaques sont particulièrement efficaces contre les organisations qui utilisent uniquement la MFA SMS ou TOTP (OTP 6 chiffres) : même avec MFA, les cookies de session post-authentification n'expirent pas immédiatement et peuvent être réutilisés par l'attaquant pour accéder au service sans re-authentification. La défense contre les AiTM modernes nécessite des mécanismes d'authentification résistants au phishing : FIDO2/WebAuthn (les clés physiques vérifient le domaine exact, rendant le proxy transparent invalide), les Conditional Access policies (Microsoft), et les protections basées sur l'empreinte TLS.