FlowerStorm + KrakVM : hameçonnage AiTM Microsoft 365 en 4 étapes
Si votre équipe ouvre encore des pièces jointes .html « message vocal » ou « facture impayée », lisez ceci avant le prochain courriel douteux. Le kit d’hameçonnage FlowerStorm (phishing-as-a-service de type adversaire-au-milieu / AiTM) vole identifiants et session MFA en temps réel. En avril 2026, Sublime Security (STIR) a observé FlowerStorm emballer la logique de connexion en bytecode chiffré via KrakVM, une machine virtuelle JavaScript open source — ce qui bat facilement beaucoup de scanneurs statiques.
Voici le parcours victime en quatre étapes, puis un tableau pour comparer OTP/SMS/push et passkeys/FIDO2.
Parcours victime annoté (4 étapes)
OTP / SMS / push vs passkeys / FIDO2
| Méthode | Face à FlowerStorm (AiTM) | Pour une PME |
|---|---|---|
| SMS / appel vocal | Relayable : le code saisi sur la fausse page part chez l’attaquant. | À éviter comme seul facteur pour Microsoft 365. |
| OTP appli (TOTP) | Aussi relayable en temps réel dans un AiTM. | Mieux que SMS, insuffisant seul contre ce kit. |
| Push Authenticator | FlowerStorm peut afficher une fausse demande « approuver sur le téléphone » et relayer le choix. | Former à refuser les push inattendus; migrer vers passkeys. |
| Passkeys / FIDO2 | Liés à l’origine (domaine réel). Un site hameçon ne peut pas compléter la même cérémonie. Guidance NCSC / Microsoft : mieux que OTP/SMS contre le phishing d’origine. | Priorité pour les comptes admin et boîtes critiques. |
Les passkeys ne remplacent pas la prudence (ne pas ouvrir de HTML inconnu), mais ils cassent le modèle « relayer le MFA sur un faux domaine ».
Signaux de détection (pour vous ou votre MSP)
- Pièces jointes HTML avec
__krak_throw,runVM, gros blocs bytecode + Base64. - POST vers
/next.phpou domaines FlowerStorm connus (listes Sublime / Sophos). - Connexions Entra : MFA réussie puis session depuis une géo/ASN inhabituelle.
- Politique : bloquer ou quarantainer les .html/.htm en pièce jointe vers les boîtes métiers.
Comment NeoTech peut vous aider
On durcit Microsoft 365 (passkeys / FIDO2, politiques anti-hameçonnage), on filtre les pièces jointes dangereuses et on met en place une surveillance automatisée 24/7 avec intervention du technicien de garde. Voir aussi nos services de cybersécurité et services Microsoft 365.
Réservez votre bilan cyber gratuit
Vous voulez savoir si vos boîtes Microsoft 365 acceptent encore des HTML en pièce jointe, et où en sont vos méthodes MFA ? En une courte rencontre, on priorise les correctifs.
👉 Réservez votre bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Sublime Security — FlowerStorm unleashes the KrakVM (14 mai 2026; campagne avril 2026)
- CSO Online — FlowerStorm adopts VM obfuscation
- Sophos — documentation FlowerStorm (depuis ~déc. 2024, post-Rockstar2FA)
- Guidance passkeys / phishing résistant : Microsoft Entra et NCSC (préférer FIDO2/passkeys à OTP/SMS)
Photo : Markus Spiske (Pexels).
2 thoughts on “FlowerStorm + KrakVM : hameçonnage AiTM Microsoft 365 en 4 étapes”