Microsoft, 12.000 hesabı hedef alan EvilTokens phishing hizmetini bozdu

Microsoft ve ortakları, OAuth device-code akışını suistimal ederek çok faktörlü kimlik doğrulamayı aşan EvilTokens platformunu hedef aldı; operasyonun kurbanlarının büyük kısmı kurumsal hesaplardan oluşuyordu.

Microsoft’un Digital Crimes Unit birimi, Health-ISAC, kolluk kuvvetleri ve SpyCloud ile birlikte EvilTokens adlı phishing-as-a-service platformuna yönelik bir operasyon yürüttü. Bu platform, Microsoft’un OAuth 2.0 device-authorization akışını kötüye kullanarak device-code phishing saldırıları düzenliyordu.

EvilTokens, dünya çapında 10.000’den fazla organizasyonda 12.000’den fazla Microsoft e-posta hesabını ele geçirmeyi başardı. Operasyonun Şubat ayında ortaya çıktığı, Microsoft’un bu aktörü Storm-2992 olarak takip ettiği ve finans, yükseköğretim ile sağlık gibi birçok sektörü etkilediği belirtiliyor.

Hizmet, Telegram üzerinden pazarlanıyordu; erişim için aylık 500 dolar ya da 1.500 dolarlık tek seferlik bir ücret talep ediliyordu. EvilTokens, device-code phishing yöntemiyle çok faktörlü kimlik doğrulamayı atlayarak, parolaları çalmaya gerek kalmadan kimlik doğrulama token’ları elde edebiliyordu.

SpyCloud, en az 8.708 hesabın 79 ülkedeki 6.585 kurumsal e-posta domain’i üzerinden ele geçirildiğini gözlemledi ve veriler, ele geçirilen hesapların yaklaşık yüzde 97,5’inin kurumsal domain’lere ait olduğunu gösterdi. Bu da saldırının ağırlıklı olarak şirketleri hedef aldığını ortaya koyuyor.

EvilTokens, 44 özelleştirilebilir phishing kiti sunuyordu; ayrıca anti-bot redirector’ler, B2B ve SMTP araçları ile Office 365 capture-link aracı gibi ek bileşenler sağlıyordu. İngiltere’de 32 ve 38 yaşlarında, EvilTokens web sitesini yönettikleri düşünülen iki kişi Canary Wharf ve Nine Elms’teki arama kararlarının ardından tutuklandı.

Platform, hesaplara erişim sağlandıktan sonra Microsoft Graph ve yapay zeka araçlarını kullanarak posta kutularını analiz ediyor, yüksek değerli hedefleri ve finansal verileri tespit ediyor ve buna göre özelleştirilmiş BEC e-postaları üretiyordu.