Knight Office piège Microsoft 365 sans mot de passe

Un kit AitM qui tourne la page du phishing de mots de passe classique

Le cabinet de sécurité Huntress a publié le 2 septembre 2026 une analyse technique détaillée d'un nouveau kit de phishing-as-a-service (PhaaS) qu'il a baptisé Knight Office. Découvert lors de l'investigation d'une activité suspecte de connexion sur un tenant Microsoft 365 en août 2026, ce kit marque une nouvelle étape dans l'évolution des techniques de compromission de comptes cloud : il ne cherche jamais à voler un mot de passe ni à contourner une protection MFA. À la place, il vole directement les jetons de session d'un utilisateur déjà authentifié, rendant l'ensemble du dispositif d'authentification forte obsolète pour l'attaquant.

La technique dite Adversary-in-the-Middle (AitM) n'est pas nouvelle dans son principe — elle avait été popularisée par des kits comme Evilginx2 ou Modlishka dans les années précédentes — mais Knight Office apporte une sophistication opérationnelle nouvelle dans son infrastructure de livraison et ses mécanismes d'obfuscation. La chaîne d'attaque commence invariablement par un email de phishing à thème DocuSign, un leurre particulièrement efficace en environnement professionnel car les notifications de signature électronique sont attendues et perçues comme légitimes.

Ces emails contiennent des redirections en cascade : la victime passe d'abord par Monday.com — un outil de gestion de projet largement utilisé en entreprise, dont l'URL est de confiance pour les filtres anti-phishing — puis traverse un ou plusieurs sites Joomla compromis servant de proxies intermédiaires, avant d'atterrir sur une page de capture de crédentiels contrôlée par l'attaquant. Cette page est une réplique exacte de la page de connexion Microsoft 365 ou Google Workspace, hébergée sur un domaine lookalike utilisant le TLD .vu (Vanuatu), dont Huntress a identifié plus d'une vingtaine d'exemplaires.

Lorsque la victime entre ses identifiants sur cette fausse page, Knight Office agit comme un proxy transparent : il transmet les données en temps réel au vrai service Microsoft ou Google, récupère le jeton de session valide généré après l'authentification MFA réussie de l'utilisateur, et l'injecte dans son propre tableau de bord opérateur. L'utilisateur voit s'afficher une erreur ou est redirigé vers un document DocuSign légitime, ne réalisant jamais que sa session vient d'être clonée. L'ensemble du processus prend moins de trente secondes.

Une fois en possession du jeton de session, l'opérateur du kit peut accéder au compte Microsoft 365 ou Google Workspace de la victime comme s'il était elle, sans jamais avoir besoin du mot de passe ni de répondre à une invite MFA. Ces jetons ont typiquement une durée de validité de plusieurs heures à plusieurs jours selon la configuration du tenant, ce qui laisse une large fenêtre d'exploitation. Huntress a observé que les attaquants procèdent immédiatement à l'exfiltration des emails de la boîte de réception, à la recherche de données financières, de contrats et d'informations sur les partenaires et clients.

Plus inquiétant encore, Knight Office intègre des mécanismes de persistance avancés destinés à maintenir l'accès même après expiration ou révocation du jeton initial. Les opérateurs enregistrent des appareils non autorisés dans Azure AD/Entra ID et lient des crédentiels Windows Hello for Business à ces appareils malveillants. Cette technique crée une backdoor autonome : même si la victime change son mot de passe, active des politiques de réauthentification et révoque tous ses jetons connus, l'appareil enregistré conserve un accès persistant au tenant jusqu'à ce qu'il soit explicitement supprimé par un administrateur.

Huntress a publié un ensemble complet d'indicateurs de compromission (IoC) incluant l'adresse IP du panneau de contrôle du kit, le domaine d'hébergement, et plus d'une vingtaine de domaines de phishing lookalike. Au moins neuf organisations distinctes ont été confirmées comme cibles de Knight Office à la date de publication, avec des secteurs variés incluant des PME, des cabinets juridiques et des prestataires de santé. La firma estime que le kit est proposé en mode PhaaS à une communauté de plusieurs dizaines d'opérateurs, ce qui suggère une surface d'attaque réelle bien supérieure aux neuf cas documentés.

Du côté de la défense, Microsoft et Google n'ont pas modifié leurs mécanismes d'authentification en réponse directe à Knight Office — ce qui est logique car la technique n'exploite pas une faille dans leurs systèmes mais abuse de fonctionnalités légitimes. La réponse efficace se situe au niveau des politiques conditionnelles : l'activation des politiques d'accès conditionnel basées sur la conformité des appareils (Compliant Device policies), qui exigent que l'appareil utilisé soit enregistré et géré dans Intune ou un MDM équivalent, bloque efficacement l'utilisation d'un jeton volé depuis un appareil non géré.

Le MFA n'est plus une ligne de défense suffisante contre les AitM

L'essor des kits AitM comme Knight Office marque un tournant dans le paysage des menaces pesant sur les environnements cloud d'entreprise. Pendant des années, le déploiement du MFA a été présenté comme la mesure de sécurité la plus impactante pour protéger les comptes utilisateurs — et pour cause : selon Microsoft, le MFA bloque plus de 99 % des attaques de compromission de compte. Mais ce chiffre repose sur une hypothèse devenue obsolète : que les attaquants cherchent à deviner ou voler des mots de passe.

Les kits AitM ne cherchent plus les mots de passe. Ils attendent patiemment que l'utilisateur s'authentifie lui-même — MFA inclus — et volent le résultat de cette authentification. C'est une attaque contre la session, pas contre les crédentiels. Dans cette logique, tous les facteurs d'authentification supplémentaires (TOTP, notification push, clé FIDO2 pour les implémentations vulnérables) deviennent inopérants : ils ont joué leur rôle, mais le résultat de ce rôle — le jeton de session — est désormais dans les mains de l'attaquant.

La seule protection réellement efficace contre les attaques AitM est l'authentification phishing-resistant, en particulier les passkeys et clés de sécurité matérielles FIDO2 (Yubikey, clé Azure AD Certificate-Based Authentication). Ces méthodes lient cryptographiquement l'authentification au domaine légitime du service, rendant les tokens obtenus sur un domaine lookalike inutilisables sur le domaine réel. Les politiques d'accès conditionnel basées sur la conformité des appareils constituent la deuxième ligne de défense, en empêchant l'utilisation d'un jeton volé depuis un appareil non enregistré.

Cette réalité impose aux équipes IAM et sécurité des organisations une révision urgente de leur stratégie d'authentification. Le déploiement de MFA via SMS ou TOTP, bien qu'il reste supérieur à l'absence de MFA, ne suffit plus face à des adversaires équipés de kits AitM accessibles en PhaaS. La migration vers des méthodes phishing-resistant est désormais une priorité de sécurité de premier rang, et non plus une amélioration optionnelle réservée aux utilisateurs à hauts privilèges.

Ce qu'il faut retenir

• Knight Office est un kit PhaaS AitM qui vole des jetons de session Microsoft 365 et Google Workspace via une infrastructure de phishing multi-étapes, rendant le MFA inopérant.
• Les attaquants créent des backdoors persistantes via l'enregistrement d'appareils malveillants dans Azure AD/Entra ID et des crédentiels Windows Hello for Business.
• La seule défense efficace est le déploiement de méthodes d'authentification phishing-resistant (FIDO2/passkeys) combinées à des politiques d'accès conditionnel basées sur la conformité des appareils.