EvilTokens-Phishing gestoppt, nachdem 12.000 Microsoft-Konten kompromittiert wurden

Microsoft und seine Partner haben die Infrastruktur für EvilTokens-Phishing gestört, nachdem der Dienst mehr als 12.000 Konten in über 10.000 Organisationen kompromittiert hatte. Der Betrieb ist weiterhin aktiv, obwohl Microsoft davon ausgeht, dass die Intervention das Angriffsvolumen reduzieren wird.

Die britische Polizei hat außerdem zwei Männer festgenommen, die verdächtigt werden, den Phishing-Dienst verwaltet zu haben. Beide wurden gegen Kaution freigelassen, während die Ermittlungen andauern.

Microsoft und Partner beschlagnahmen EvilTokens-Infrastruktur

Microsofts Digital Crimes Unit koordinierte die Aktion mit Health-ISAC, Strafverfolgungsbehörden und dem auf Identitätssicherheit spezialisierten Unternehmen SpyCloud. Die Partner erhielten die rechtliche Befugnis, aktive Infrastruktur im Zusammenhang mit EvilTokens zu beschlagnahmen.

Microsoft verfolgt die Gruppe hinter dem Dienst unter der Bezeichnung Storm-2992. Ihre Kampagnen betrafen Organisationen aus Bereichen wie Gesundheitswesen, Finanzdienstleistungen, Bauwesen und Hochschulbildung.

SpyCloud identifizierte separat mehr als 8.700 kompromittierte Konten in 6.585 geschäftlichen E-Mail-Domains in 79 Ländern. Diese Zahlen stammen aus den wiederhergestellten Phishing-Daten des Unternehmens und beschreiben einen anderen Datensatz als die Gesamtzahlen von Microsoft.

Device-Code-Phishing umgeht die Notwendigkeit, Passwörter zu stehlen

EvilTokens ist auf Device-Code-Phishing spezialisiert. Die Technik missbraucht einen legitimen Microsoft-Anmeldeprozess, der für Geräte mit eingeschränkten Eingabemöglichkeiten entwickelt wurde.

Ein Angreifer fordert einen Gerätecode an und sendet ihn über eine Phishing-Nachricht an ein Ziel. Das Ziel gibt anschließend den Code ein und meldet sich über die legitime Anmeldeseite von Microsoft an. Dadurch kann der Angreifer ein Authentifizierungstoken erhalten, selbst wenn das Konto eine Multifaktor-Authentifizierung verwendet.

Der Dienst bot anpassbare Köder, die Tools zur Dokumentenunterzeichnung, Filesharing-Dienste, Rechnungen und Microsoft-Produkte imitierten. Die Betreiber warben über Telegram mit einem Zugang für 500 US-Dollar pro Monat oder einer einmaligen Gebühr von 1.500 US-Dollar.

Gestohlener Postfachzugriff ermöglicht weiteren Betrug

Nach dem Zugriff nutzte EvilTokens Microsoft Graph, um organisatorische Beziehungen zu untersuchen. Die KI-gestützten Tools konnten außerdem Postfächer nach Rechnungen, Details zu Überweisungen und Korrespondenz mit Führungskräften durchsuchen.

Angreifer konnten diese Erkenntnisse nutzen, um wertvolle Ziele zu identifizieren und überzeugende Nachrichten für Business-E-Mail-Compromise-Angriffe zu verfassen. Laut SpyCloud gehörten etwa 97,5 % der kompromittierten Konten im Datensatz des Unternehmens zu Unternehmensdomains.

Die Bedrohung bleibt aktiv

Die Beschlagnahmung der Infrastruktur störte EvilTokens, beseitigte den Dienst jedoch nicht. Es gibt auch andere Plattformen für Device-Code-Phishing, und Partner haben ähnliche Tools entwickelt.

Organisationen können ihre Gefährdung reduzieren, indem sie die Device-Code-Authentifizierung dort deaktivieren, wo sie nicht benötigt wird, und verdächtige Anmeldungen überwachen. Nutzer sollten prüfen, welche Anwendung Zugriff anfordert, bevor sie eine unerwartete Device-Code-Anmeldung abschließen.