EvilTokens-phishing stoppet efter kompromittering af 12.000 Microsoft-konti

Microsoft og virksomhedens partnere har forstyrret infrastrukturen bag EvilTokens-phishing, efter at tjenesten kompromitterede mere end 12.000 konti på tværs af over 10.000 organisationer. Operationen er fortsat aktiv, selvom Microsoft forventer, at indgrebet vil reducere antallet af angreb.

Britisk politi har også anholdt to mænd, der mistænkes for at administrere phishingtjenesten. Begge blev løsladt mod kaution, mens efterforskningen fortsætter.

Microsoft og partnere beslaglægger EvilTokens-infrastruktur

Microsofts Digital Crimes Unit koordinerede indsatsen med Health-ISAC, retshåndhævende myndigheder og identitetssikkerhedsvirksomheden SpyCloud. Partnerne fik juridisk tilladelse til at beslaglægge aktiv infrastruktur forbundet med EvilTokens.

Microsoft sporer gruppen bag tjenesten som Storm-2992. Dens kampagner ramte organisationer i sektorer som sundhedsvæsen, finansielle tjenester, byggeri og videregående uddannelse.

SpyCloud identificerede separat mere end 8.700 kompromitterede konti på tværs af 6.585 virksomhedsmaildomæner i 79 lande. Disse tal stammer fra virksomhedens gendannede phishingdata og beskriver et andet datasæt end Microsofts samlede tal.

Phishing med enhedskoder omgår behovet for at stjæle adgangskoder

EvilTokens specialiserer sig i phishing med enhedskoder. Teknikken misbruger en legitim Microsoft-loginproces, der er designet til enheder med begrænsede inputmuligheder.

En angriber anmoder om en enhedskode og sender den til et mål via en phishingbesked. Målet indtaster derefter koden og logger ind via Microsofts legitime loginside. Denne handling kan give angriberen et godkendelsestoken, selv når kontoen bruger multifaktorgodkendelse.

Tjenesten tilbød brugerdefinerbare lokkemidler, der efterlignede værktøjer til dokumentsignering, fildelingstjenester, fakturaer og Microsoft-produkter. Operatørerne annoncerede adgang via Telegram for 500 dollar om måneden eller et engangsbeløb på 1.500 dollar.

Stjålet adgang til indbakker fører til yderligere svindel

Efter at have fået adgang brugte EvilTokens Microsoft Graph til at undersøge organisatoriske relationer. Dets AI-drevne værktøjer kunne også søge i indbakker efter fakturaer, oplysninger om bankoverførsler og korrespondance med ledere.

Angribere kunne bruge disse fund til at identificere værdifulde mål og skrive overbevisende beskeder til kompromittering af virksomhedsmail. Ifølge SpyCloud tilhørte omkring 97,5 % af de kompromitterede konti i virksomhedens datasæt virksomhedsdomæner.

Truslen er fortsat aktiv

Beslaglæggelsen af infrastrukturen forstyrrede EvilTokens, men eliminerede ikke tjenesten. Der findes også andre platforme til phishing med enhedskoder, og tilknyttede aktører har oprettet lignende værktøjer.

Organisationer kan reducere eksponeringen ved at deaktivere godkendelse med enhedskoder, hvor de ikke har brug for den, og overvåge mistænkelige loginforsøg. Brugere bør kontrollere, hvilken applikation der anmoder om adgang, før de gennemfører et uventet login med en enhedskode.