Contexte et objectifs
Le groupe d'espionnage cyber TA419, identifié comme étant aligné avec la Chine, mène depuis avril 2025 des campagnes de phishing ciblant des think tanks, universités, cabinets juridiques et, plus récemment, des spécialistes de la politique d'intelligence artificielle aux États‑Unis. Selon Proofpoint, l’opération de février 2026 visait un expert en IA d’un think tank américain, sous le prétexte d’une demande de retour sur l’intégration militaire du modèle Claude d’Anthropic. L’objectif déclaré est de recueillir des renseignements sur l’évolution de la régulation et des export‑controls américains relatifs à l’IA, dans le cadre d’une compétition stratégique sino‑américaine.
Mécanisme de l'attaque AitM
L’attaque débute par un courriel d’invitation apparemment inoffensif. Une fois le destinataire répondant, le message renvoie vers une URL raccourcie qui déclenche une chaîne de redirections multiples. La dernière redirection conduit à une page d’authentification Microsoft hébergée sur OneDrive, mais interceptée par un proxy « adversary‑in‑the‑middle » (AitM). Avant d’afficher la page, le proxy impose un contrôle Cloudflare Turnstile afin de masquer l’automatisation. Le flux de connexion Microsoft légitime est alors reproduit, tandis que le module de télémétrie ajouté par TA419 capture les identifiants et les transmet en arrière‑plan aux serveurs Microsoft réels, sans que la victime ne remarque d’anomalie de session ou de cookie.
Analyse technique du Frameless BitB
La page AitM s’appuie sur la technique dite « Frameless BitB », évolution du browser‑in‑the‑browser (BitB). Contrairement au BitB classique qui utilise une balise <iframe> pour afficher une fausse page de connexion, le Frameless BitB crée une fenêtre factice en injectant directement du HTML, CSS et JavaScript dans le document d’origine. Cette injection repose sur une recherche‑et‑remplacement du contenu (substitutions) et sur des astuces de rendu CSS pour masquer le cadre réel du navigateur. Le résultat est une interface visuelle indiscernable d’une vraie page Microsoft, mais exécutée dans le même contexte de processus, ce qui empêche les mécanismes de détection basés sur les iframes ou les changements d’URL.
Contremesures recommandées
Proofpoint conseille d’activer des méthodes d’authentification résistantes au phishing, notamment les passkeys basées sur le standard WebAuthn. Les organisations doivent également sensibiliser les cadres et les experts à la vérification de toute prise de contact non sollicitée, surtout lorsqu’elle provient de personnalités publiques ou d’employés d’entreprises d’IA. Au niveau technique, le filtrage des URL raccourcies, la surveillance des flux de redirection vers des services cloud et la mise en place de solutions de détection d’anomalies de connexion (par ex. analyse de la latence du handshake TLS) peuvent réduire la surface d’exposition. Enfin, la désactivation ou la restriction de l’accès à OneDrive pour les comptes à privilèges élevés limite l’utilité d’un AitM basé sur ce service.
