Chiến dịch lừa đảo Device Code của Microsoft 365 dùng DEBULL để chiếm đoạt tài khoản
"A Microsoft 365 device-code phishing campaign was observed using collaboration-themed lures and a compromised website to drive victims into Microsoft’s legitimate device login flow, allowing attackers to capture OAuth device-code tokens and hijack accounts. The activity overlaps with Storm-2372 tradecraft and appears to use a reusable PhaaS layer called DEBULL, with post-authentication tooling likely based on GraphSpy for Microsoft 365 and Entra abuse; no CVE is involved, and the primary impact is account takeover, token theft, and potential BEC/exfiltration."
Tác động chủ yếu là chiếm đoạt tài khoản và trộm token OAuth thông qua device-code phishing; có thể dẫn tới BEC và rò rỉ dữ liệu.
Rủi ro vận hành gồm gián đoạn do tài khoản bị chiếm, thất thoát thông tin và khả năng phát tán lừa đảo nội bộ qua ATO; ảnh hưởng trực tiếp đến email/SharePoint và quy trình phê duyệt.
Một chiến dịch device-code phishing nhắm tới Microsoft 365 được ghi nhận trong giai đoạn cuối tháng 6/2026 đến đầu tháng 7/2026. Thay vì dùng trang đăng nhập giả mạo mật khẩu, kẻ tấn công dùng mồi nhử theo chủ đề cộng tác (ví dụ phong cách Teams) để đưa nạn nhân vào luồng đăng nhập device hợp lệ của Microsoft. Ở hậu trường, một “broker” tạo và theo dõi Microsoft Authentication Broker device-code tokens, từ đó kẻ xấu có thể thu token và thực hiện account takeover (ATO).
Theo ZeroBEC, hoạt động có điểm trùng khớp mạnh với chiến dịch Storm-2372 đã được Microsoft mô tả (tháng 2/2025), bao gồm việc lừa nạn nhân nhập device code do kẻ tấn công cung cấp. Tuy nhiên, nhóm được đánh giá đang đóng gói kỹ thuật này qua một lớp công cụ dùng lại tên DEBULL. Phần sau xác thực được cho là dựa trên GraphSpy hoặc biến thể cho Microsoft 365/Entra.
Ngoài ra, Cisco Talos ghi nhận nền tảng PhaaS khác như ARToken có bảng điều khiển API cho các tác vụ như PRT persistence, thao tác email và SharePoint exfiltration.
Khuyến nghị: rà soát email/URL dẫn tới microsoft.com/devicelogin, tăng giám sát đăng nhập bất thường theo OAuth/device authorization, và siết chính sách truy cập để giảm rủi ro token theft và BEC.