Microsoft rozbił platformę EvilTokens, przejęła 12 tys. kont

Microsoft Digital Crimes Unit doprowadził do rozbicia infrastruktury EvilTokens, platformy phishing-as-a-service, która od lutego przejęła ponad 12 000 kont Microsoft w ponad 10 000 organizacji. W akcji uczestniczyły Health-ISAC, organy ścigania i firma SpyCloud z Austin. Brytyjska policja zatrzymała dwóch mężczyzn w wieku 32 i 38 lat, podejrzanych o administrowanie serwisem, po przeszukaniach w Canary Wharf i Nine Elms; obaj wyszli za poręczeniem. Microsoft śledzi tę grupę jako Storm-2992.

Kogo dotyczy

Według Microsoftu kampanie z użyciem EvilTokens uderzyły w organizacje z handlu hurtowego, budownictwa, usług finansowych, nieruchomości, szkolnictwa wyższego i ochrony zdrowia. Platforma jako pierwsza obsługiwała na dużą skalę logowanie kodem urządzenia i oferowała funkcje AI do personalizowania przynęt oraz przeszukiwania przejętych skrzynek w poszukiwaniu wartościowych celów.

Co zrobić

Materiał opisuje technikę device-code phishing, która nadużywa przepływu uwierzytelniania kodem urządzenia i pozwala uzyskać tokeny mimo włączonego MFA, bez kradzieży haseł. Do kwietnia co najmniej 10 platform phishingowych obsługiwało tę metodę, a liczba takich kampanii w tym roku wyraźnie wzrosła.