Eine neu entdeckte Phishing-as-a-Service-Plattform (PhaaS) namens ARToken PhaaS scheint als Affiliate des EvilTokens-Phishing-Ökosystems zu agieren und Cyberkriminellen ein leistungsstarkes Werkzeug zur Kompromittierung von Microsoft-365-Konten bereitzustellen. Nach Angaben von Forschern automatisiert die Plattform Kontoübernahmen, stiehlt Authentifizierungs-Tokens und bietet umfangreiche Funktionen für Business Email Compromise (BEC)-Angriffe.
Cisco Talos entdeckt ARToken PhaaS
Forscher von Cisco Talos entdeckten ARToken während der Untersuchung einer Phishing-Infrastruktur im Rahmen eines Incident-Response-Einsatzes.
Ihre Analyse brachte eine React-basierte Verwaltungskonsole mit dem Namen ARToken Panel ans Licht. Das Panel legte mehr als 80 API-Endpunkte offen und zeigte, dass die Plattform deutlich leistungsfähiger ist als herkömmliche Phishing-Kits zum Diebstahl von Zugangsdaten.
Durch Reverse Engineering des clientseitigen JavaScript-Codes identifizierten die Forscher mehrere bislang nicht dokumentierte Funktionen, die Angriffe auf Microsoft 365 automatisieren.
Plattform stiehlt Microsoft-365-Tokens
ARToken ermöglicht Angreifern den Diebstahl von Microsoft-365-Authentifizierungs-Tokens, nachdem sie ein Konto kompromittiert haben.
Darüber hinaus kann die Plattform durch die Erstellung sogenannter Primary Refresh Tokens (PRTs) einen dauerhaften Zugriff aufrechterhalten. Diese Tokens ermöglichen es Angreifern, auch nach Ablauf normaler Authentifizierungs-Tokens erneut Zugriff zu erhalten.
Sobald Angreifer Zugriff erlangt haben, können sie Outlook-Postfächer durchsuchen, auf SharePoint-Websites zugreifen und Dateien in OneDrive verwalten.
Deutliche Hinweise auf eine Verbindung zu EvilTokens
Cisco Talos entdeckte mehrere technische Gemeinsamkeiten zwischen ARToken und der Phishingplattform EvilTokens.
Beide Plattformen verwenden identische API-Aufrufe für den Device-Code-Authentifizierungsprozess von Microsoft. Außerdem fanden die Forscher dieselben API-Endpunkte zum Erstellen, Erneuern, Aktualisieren und Wiederherstellen von Primary Refresh Tokens.
Darüber hinaus nutzt ARToken dasselbe Bereitstellungsmodell über Cloudflare Workers und arbeitet als Multi-Tenant-Phishingdienst, über den Affiliates ihre eigenen Kampagnen verwalten können.
Device-Code-Phishing nimmt weiter zu
EvilTokens basiert auf Microsofts OAuth-2.0-Device-Authorization-Grant, besser bekannt als Device-Code-Phishing.
Anstatt Benutzernamen und Passwörter direkt zu stehlen, bringen Angreifer ihre Opfer dazu, einen legitimen Device Code von Microsoft auf der offiziellen Anmeldeseite des Unternehmens einzugeben.
Nach erfolgreicher Anmeldung stellt Microsoft die Authentifizierungs-Tokens direkt dem Angreifer aus.
Da sich das Opfer über die legitime Microsoft-Infrastruktur anmeldet, können diese Angriffe die Multi-Faktor-Authentifizierung (MFA) umgehen.
ARToken bietet erweiterte BEC-Funktionen
Talos stellte fest, dass ARToken umfangreiche Werkzeuge für Business-Email-Compromise-Angriffe bereitstellt.
Angreifer können Outlook-Postfächer lesen, E-Mails über kompromittierte Konten versenden, Anhänge herunterladen und mehrere Postfächer gleichzeitig nach bestimmten Schlüsselwörtern durchsuchen.
Die Plattform ermöglicht außerdem das Erstellen von Posteingangsregeln, die E-Mails automatisch weiterleiten, ausblenden oder löschen. Dadurch können Angreifer ihren Zugriff aufrechterhalten und gleichzeitig das Risiko einer Entdeckung verringern.
Zusätzlich bietet ARToken vollständigen Zugriff auf SharePoint und OneDrive. Angreifer können Dateien durchsuchen, hochladen, herunterladen und ersetzen, was Datendiebstahl und die Verbreitung von Schadsoftware erheblich erleichtert.
Neue Funktionen gehen über bisherige EvilTokens-Analysen hinaus
Talos identifizierte außerdem mehrere Funktionen, die in früheren Untersuchungen zu EvilTokens nicht beschrieben wurden.
Angreifer können Authentifizierungs-Tokens aus anderen Quellen importieren und kompromittierte Konten mit weiteren Akteuren teilen.
Darüber hinaus unterstützt die Plattform Phishing-Seiten, deren Inhalte sich automatisch an den Standort des Opfers anpassen.
Nach Einschätzung der Forscher machen diese Funktionen Phishing-Kampagnen glaubwürdiger und erhöhen die Erfolgschancen der Angreifer.
Gefälschte Rechnungen richten sich gegen Finanzabteilungen
Talos analysierte Phishing-E-Mails im Zusammenhang mit der Plattform und stellte fest, dass die Angreifer vor allem Mitarbeiter in der Finanz- und Kreditorenbuchhaltung ins Visier nahmen.
Die E-Mails gaben sich als Nachrichten legitimer Lieferanten aus und nutzten gefälschte Rechnungen, um Empfänger zum Anklicken schädlicher Links zu verleiten.
Anstatt auf offensichtlich betrügerische Websites zu verweisen, zeigten die E-Mails scheinbar legitime Microsoft-SharePoint-URLs an. Tatsächlich führten die Links jedoch zu von den Angreifern kontrollierten Microsoft-365-Mandanten, die speziell zum Diebstahl von Authentifizierungs-Tokens eingerichtet worden waren.
Device-Code-Phishing breitet sich rasant aus
Device-Code-Phishing gehört inzwischen zu den am schnellsten wachsenden Angriffsmethoden gegen Microsoft-365-Nutzer.
Anfang des Jahres berichtete Sekoia, dass EvilTokens als kommerzieller Phishingdienst betrieben wird. Cyberkriminelle zahlen dabei eine Einrichtungsgebühr von 1.500 US-Dollar sowie eine monatliche Gebühr von 500 US-Dollar.
Push Security meldete später, dass die Zahl der Device-Code-Phishing-Angriffe innerhalb eines Jahres um das 37-Fache gestiegen ist. Das Unternehmen identifizierte außerdem mindestens 11 Phishing-Kits, die diese Methode inzwischen unterstützen.
Die anhaltende Verbreitung von Plattformen wie ARToken zeigt, wie Phishing-as-a-Service-Anbieter ihre Werkzeuge kontinuierlich erweitern, um die Kompromittierung von Microsoft-365-Konten und Business-Email-Compromise-Betrug zu automatisieren.
0 Kommentare zu „ARToken PhaaS erweitert EvilTokens Microsoft-365-Phishing-Toolkit um erweiterte BEC-Funktionen“