ARToken lộ bộ công cụ lừa đảo Microsoft 365 gắn với EvilTokens
"Cisco Talos found the ARToken phishing-as-a-service panel while investigating incident-response infrastructure and linked it to the EvilTokens Microsoft 365 device-code phishing platform. The toolkit steals Microsoft 365 tokens, upgrades them to Primary Refresh Tokens, and reaches Outlook, SharePoint, and OneDrive."
Rủi ro chiếm token Microsoft 365 và PRT bền vững, có thể đi qua MFA bằng device code phishing, rồi đọc hộp thư và tệp.
Có thể dẫn tới BEC nhắm bộ phận thanh toán, rò rỉ hộp thư và chi phí ứng phó trên tenant Microsoft 365.
Cisco Talos phát hiện nền tảng phishing-as-a-service tên ARToken khi điều tra hạ tầng lừa đảo trong một ca ứng phó sự cố. Bảng điều khiển ARToken Panel viết bằng React để lộ hơn 80 API endpoint.
Theo Talos, bộ công cụ lấy token xác thực Microsoft 365, giữ quyền bằng Primary Refresh Token (PRT), rồi mở hộp thư Outlook, site SharePoint và tệp OneDrive. Nhiều chi tiết trùng EvilTokens, dịch vụ Sekoia mô tả từ tháng 3.
Kit dùng cùng lời gọi cho OAuth 2.0 Device Authorization Grant, gồm POST /api/device/start, và các endpoint thiết lập, làm mới hoặc lấy lại PRT. Nạn nhân nhập device code trên trang đăng nhập chính thức của Microsoft, nên token được phát cho kẻ tấn công và có thể đi qua xác thực đa yếu tố.
Sekoia ghi nhận phí thiết lập 1.500 USD và thuê bao 500 USD mỗi tháng. Talos mô tả thêm việc gửi thư dưới danh nghĩa nạn nhân, tạo inbox rule để giấu thư và quản lý tệp. Email mồi theo chủ đề hóa đơn trỏ tới tenant giả. Push Security cho biết device-code phishing tăng 37 lần trong một năm, với ít nhất 11 kit.
Việc cần kiểm tra
- Hạn chế device code flow nếu tổ chức không dùng.
- Rà đăng nhập device code và PRT bất thường.
- Kiểm tra inbox rule mới và ứng dụng OAuth vừa được đồng ý.