Microsoft och dess partner har slagit ut infrastruktur för EvilTokens-nätfiske efter att tjänsten komprometterat fler än 12 000 konton i över 10 000 organisationer. Verksamheten är fortfarande aktiv, även om Microsoft förväntar sig att insatsen kommer att minska antalet attacker.
Brittisk polis har också gripit två män som misstänks för att ha administrerat nätfisketjänsten. Båda släpptes mot borgen medan utredningen fortsätter.
Microsoft och partner beslagtar EvilTokens-infrastruktur
Microsofts Digital Crimes Unit samordnade insatsen med Health-ISAC, brottsbekämpande myndigheter och identitetssäkerhetsföretaget SpyCloud. Partnerna fick rättsligt tillstånd att beslagta aktiv infrastruktur kopplad till EvilTokens.
Microsoft spårar gruppen bakom tjänsten som Storm-2992. Dess kampanjer drabbade organisationer inom bland annat hälso- och sjukvård, finansiella tjänster, byggbranschen och högre utbildning.
SpyCloud identifierade separat fler än 8 700 komprometterade konton på 6 585 företagsdomäner för e-post i 79 länder. Dessa siffror kommer från företagets återställda nätfiskedata och beskriver en annan datamängd än Microsofts totalsiffra.
Nätfiske med enhetskoder kringgår behovet av att stjäla lösenord
EvilTokens är specialiserat på nätfiske med enhetskoder. Tekniken missbrukar en legitim inloggningsprocess från Microsoft som är utformad för enheter med begränsade inmatningsmöjligheter.
En angripare begär en enhetskod och skickar den till ett mål genom ett nätfiskemeddelande. Målet anger sedan koden och loggar in via Microsofts legitima inloggningssida. Den åtgärden kan ge angriparen en autentiseringstoken, även när kontot använder multifaktorautentisering.
Tjänsten erbjöd anpassningsbara lockbeten som imiterade verktyg för dokumentsignering, fildelningstjänster, fakturor och Microsoft-produkter. Operatörerna marknadsförde åtkomst via Telegram för 500 dollar per månad eller en engångsavgift på 1 500 dollar.
Stulen åtkomst till inkorgar driver ytterligare bedrägerier
Efter att ha fått åtkomst använde EvilTokens Microsoft Graph för att undersöka relationer inom organisationer. Dess AI-drivna verktyg kunde också söka igenom inkorgar efter fakturor, uppgifter om banköverföringar och korrespondens med chefer.
Angripare kunde använda dessa fynd för att identifiera värdefulla mål och skriva övertygande meddelanden för företagsmejlbedrägerier. Enligt SpyCloud tillhörde cirka 97,5 % av de komprometterade kontona i företagets datamängd företagsdomäner.
Hotet är fortfarande aktivt
Beslaget av infrastrukturen störde EvilTokens, men eliminerade inte tjänsten. Det finns även andra plattformar för nätfiske med enhetskoder, och samarbetspartner har skapat liknande verktyg.
Organisationer kan minska exponeringen genom att inaktivera autentisering med enhetskoder där den inte behövs och övervaka misstänkta inloggningar. Användare bör kontrollera vilken applikation som begär åtkomst innan de slutför en oväntad inloggning med en enhetskod.
0 svar till ”EvilTokens-nätfiske stoppas efter att 12 000 Microsoft-konton komprometterats”