Microsoft og partnerne deres har forstyrret infrastrukturen for EvilTokens-nettfiske etter at tjenesten kompromitterte mer enn 12 000 kontoer i over 10 000 organisasjoner. Operasjonen er fortsatt aktiv, selv om Microsoft forventer at inngrepet vil redusere angrepsvolumet.
Britisk politi har også arrestert to menn som mistenkes for å administrere nettfisketjenesten. Begge ble løslatt mot kausjon mens etterforskningen fortsetter.
Microsoft og partnere beslaglegger EvilTokens-infrastruktur
Microsofts Digital Crimes Unit koordinerte aksjonen med Health-ISAC, politimyndigheter og identitetssikkerhetsselskapet SpyCloud. Partnerne fikk juridisk tillatelse til å beslaglegge aktiv infrastruktur knyttet til EvilTokens.
Microsoft sporer gruppen bak tjenesten som Storm-2992. Kampanjene deres rammet organisasjoner i sektorer som helsevesen, finansielle tjenester, bygg og høyere utdanning.
SpyCloud identifiserte separat mer enn 8 700 kompromitterte kontoer på tvers av 6 585 e-postdomener tilhørende selskaper i 79 land. Disse tallene kommer fra selskapets gjenopprettede nettfiskedata og beskriver et annet datasett enn Microsofts totale tall.
Enhetskode-nettfiske omgår behovet for å stjele passord
EvilTokens spesialiserer seg på enhetskode-nettfiske. Teknikken misbruker en legitim Microsoft-påloggingsprosess som er utviklet for enheter med begrensede inndatamuligheter.
En angriper ber om en enhetskode og sender den til et mål gjennom en nettfiskemelding. Målet skriver deretter inn koden og logger på via Microsofts legitime påloggingsside. Denne handlingen kan gi angriperen et autentiseringstoken, selv når kontoen bruker multifaktorautentisering.
Tjenesten tilbød tilpassbare lokkemidler som etterlignet verktøy for dokumentsignering, fildelingstjenester, fakturaer og Microsoft-produkter. Operatørene annonserte tilgang via Telegram for 500 dollar per måned eller en engangsavgift på 1 500 dollar.
Stjålet tilgang til innbokser fører til ytterligere svindel
Etter å ha fått tilgang brukte EvilTokens Microsoft Graph til å undersøke organisatoriske relasjoner. De AI-drevne verktøyene kunne også søke gjennom innbokser etter fakturaer, opplysninger om bankoverføringer og korrespondanse med ledere.
Angripere kunne bruke disse funnene til å identifisere verdifulle mål og skrive overbevisende meldinger for kompromittering av bedrifts-e-post. Ifølge SpyCloud tilhørte omtrent 97,5 % av de kompromitterte kontoene i datasettet deres bedriftsdomener.
Trusselen er fortsatt aktiv
Beslaget av infrastrukturen forstyrret EvilTokens, men eliminerte ikke tjenesten. Det finnes også andre plattformer for enhetskode-nettfiske, og tilknyttede aktører har opprettet lignende verktøy.
Organisasjoner kan redusere eksponeringen ved å deaktivere enhetskodeautentisering der de ikke trenger den, og overvåke mistenkelige pålogginger. Brukere bør kontrollere hvilken applikasjon som ber om tilgang før de fullfører en uventet pålogging med en enhetskode.
0 responses to “EvilTokens-nettfiske stanset etter at 12 000 Microsoft-kontoer ble kompromittert”