Publié le 24 octobre 2025 à 03h50. Des chercheurs en sécurité ont découvert une nouvelle méthode permettant à des pirates informatiques d’accéder aux conversations, aux courriels et aux fichiers partagés sur Microsoft Teams en exploitant une faille dans la manière dont les jetons d’authentification sont stockés et cryptés sous Windows.
- Une nouvelle technique permet de déchiffrer les jetons d’authentification de Microsoft Teams stockés sur les systèmes Windows.
- Cette méthode contourne les récentes améliorations de sécurité et ouvre la voie à des attaques de type « mouvement latéral » et à l’exfiltration de données sensibles.
- Les attaquants peuvent ainsi usurper l’identité des utilisateurs pour envoyer des messages ou des courriels au nom de ces derniers.
Une nouvelle vulnérabilité affecte la sécurité de Microsoft Teams, permettant à des acteurs malveillants de compromettre l’accès aux données des utilisateurs. Selon des recherches récentes, des jetons d’authentification cryptés, utilisés pour accéder à Teams, peuvent être extraits des bases de données de cookies de type Chromium sur les systèmes Windows.
Brahim El Fikhi a détaillé dans un article de blog daté du 23 octobre 2025 comment ces jetons peuvent être déchiffrés grâce à l’API de protection des données de Windows (DPAPI). Cette méthode exploite une faiblesse dans la manière dont les clés de cryptage sont liées aux informations d’identification de l’utilisateur, permettant un décryptage même sans élévation de privilèges.
Cette découverte est particulièrement préoccupante car elle contourne les mesures de sécurité récemment mises en place par Microsoft. Les attaquants peuvent ainsi se déplacer plus facilement au sein des réseaux d’entreprise et exfiltrer des données sensibles. L’usurpation d’identité est également possible, permettant aux pirates d’envoyer des messages ou des courriels au nom des victimes, ce qui peut être utilisé pour des attaques d’ingénierie sociale ou pour maintenir un accès persistant au système.
L’attention portée par El Fikhi aux applications Office de bureau, en particulier Teams, souligne les vulnérabilités inhérentes aux composants de navigateur intégrés qui gèrent l’authentification via login.microsoftonline.com. Microsoft reste une cible privilégiée pour les cybercriminels, comme en témoignent les récentes menaces ciblant Teams début octobre 2025.
Auparavant, les premières versions de Microsoft Teams stockaient les cookies d’authentification en texte clair, une faille exploitée dès 2022 par Vectra AI pour accéder à l’API Graph et contourner l’authentification multi-facteurs (MFA). Les mises à jour ont corrigé ce problème en adoptant un format crypté basé sur la protection des cookies de Chromium, mais cette nouvelle approche introduit de nouveaux vecteurs d’attaque.
Les jetons utilisent désormais le cryptage AES-256-GCM protégé par DPAPI, une API Windows qui lie les clés aux contextes utilisateur ou machine. Bien que cette méthode vise à isoler les données, elle repose sur les informations de connexion de l’utilisateur, ce qui rend le décryptage possible avec un accès local ou même à distance. Des protections similaires dans des navigateurs comme Chrome ont déjà été compromises par l’extraction de clés, un schéma reproduit dans le processus msedgewebview2.exe de Teams.
Extraction et décryptage des jetons d’accès Microsoft Teams
Pour identifier l’emplacement des jetons, les chercheurs ont utilisé ProcMon de SysInternals, en filtrant les opérations WriteFile sur msedgewebview2.exe, le navigateur Edge WebView2 intégré généré par ms-teams.exe lors de la connexion. Ce processus écrit dans la base de données Cookies, ce qui permet d’éviter les entrées/sorties de fichiers sensibles au-delà des journaux.
La table SQLite Cookies contient les informations essentielles : host_key (par exemple, teams.microsoft.com), nom (identifiant du cookie) et selected_value préfixé par « v10 » (0x76 0x31 0x30), indiquant le cryptage de la version 10 de Chromium. Le schéma d’analyse est le suivant : une balise de 3 octets, un nom occasionnel de 12 octets (vecteur d’initialisation) et la charge utile chiffrée en AES.
La clé principale se trouve dans %AppData%\Local\Packages\MSTeams_8wekyb3d8bbwe\LocalCache\Microsoft\MSTeams\EBWebView\Local State, un fichier JSON sous os_crypt.encrypted_key : une chaîne Base64 commençant par « DPAPI » après décodage, protégée par des blobs DPAPI spécifiques à l’utilisateur dans %AppData%\Microsoft\Protect. L’extraction et la suppression de la protection de la clé par DPAPI nécessitent l’utilisation d’API Windows telles que CryptUnprotectData, qui exigent que le contexte de l’attaquant corresponde à celui de l’utilisateur (par exemple, via mimikatz pour le vidage des informations d’identification).
L’application d’AES-256-GCM avec la clé et le nom occasionnel à la charge utile permet de générer le jeton d’authentification. Le PoC de Brahim El Fikhi, écrit en Rust, automatise ce processus, en vidant les jetons après la terminaison de teams.exe pour déverrouiller le fichier, une limitation standard car le processus détient un verrou exclusif. Des équivalents Python, similaires à ceux développés pour Chrome, démontrent une logique comparable.
Ce code, adapté de la criminalistique du navigateur, s’applique directement à Teams. Un PoC GitHub (teams_dump) répertorie et déchiffre la base de données, produisant du JSON avec des hôtes comme teams.microsoft.com et des cookies comme MUIDB ou TSREGIONCOOKIE.
Atténuations
Des outils tels que GraphSpy peuvent être utilisés pour exploiter le jeton afin de lire abusivement SharePoint ou des courriels, dans les limites des autorisations Teams (par exemple, Chat.ReadWrite, Mail.Send). Le jeton d’actualisation principal (PRT) de Microsoft est lié à cela, permettant un SSO transparent mais amplifiant les risques de réutilisation des jetons dans les applications.
Pour atténuer ces risques, il est recommandé de surveiller les processus ms-teams.exe ou les modèles ProcMon inhabituels, d’appliquer le cryptage lié aux applications et de privilégier l’utilisation de Teams basé sur le Web pour éviter le stockage local. La rotation des jetons via les politiques Entra ID et l’audit des journaux de l’API pour détecter les anomalies sont également des mesures importantes. À mesure que les menaces évoluent, les règles EDR compatibles DPAPI sont essentielles.
Suivez-nous sur Google Actualités, LinkedIn et X pour des mises à jour quotidiennes sur la cybersécurité. Contactez-nous pour nous soumettre vos reportages.