EvilTokens phát triển thành dịch vụ phishing-as-a-service nhắm vào Microsoft 365
"Cisco Talos reported that the EvilTokens device-code phishing kit has evolved into a more mature phishing-as-a-service operation, with a related ARToken panel sharing infrastructure, API contracts, and operational patterns. The campaign uses targeted invoice-themed lures and Microsoft 365/SharePoint lookalikes to bypass MFA, steal authentication tokens, and support post-compromise BEC activity such as Outlook inbox access, message forwarding/deletion, and persistence; no CVE is mentioned and the mitigation is improved detection and phishing resistance."
Tác động đáng kể do khả năng vượt MFA và chiếm authentication tokens để đăng nhập “im lặng”, sau đó hỗ trợ BEC với quyền đọc/gửi và thao tác hộp thư.
Nguy cơ gián đoạn và thiệt hại tài chính do BEC (đọc, gửi, chuyển tiếp/xóa email) và tạo quy tắc tự động có thể kéo dài thời gian phát hiện.
Cisco Talos cho biết bộ kit phishing EvilTokens device-code đã tiến hóa thành mô hình phishing-as-a-service (PhaaS) trưởng thành hơn. Theo nhóm nghiên cứu, một bảng điều khiển liên quan được gắn nhãn ARToken chia sẻ hạ tầng, API contracts và các mẫu vận hành với nền tảng EvilTokens, cho thấy hoạt động có tổ chức và có thể được “đóng gói” để triển khai trên quy mô lớn.
Chiến dịch sử dụng mồi nhử theo chủ đề hóa đơn và các biến thể giao diện giống Microsoft 365/SharePoint nhằm vượt qua MFA. Cơ chế này giúp kẻ tấn công lấy authentication tokens và thực hiện hành vi sau xâm nhập kiểu BEC, bao gồm đọc hộp thư Outlook, gửi email, tạo quy tắc để forward/delete và giám sát theo từ khóa trên các tài khoản bị chiếm.
Talos cũng mô tả cách mồi nhử “đi tới inbox”: họ thu hồi hai email gần như giống nhau gửi cách nhau khoảng bốn phút, cho thấy kỹ thuật nhắm mục tiêu thay vì phát tán đại trà. Email lợi dụng quan hệ nhà cung cấp hợp lệ, trong đó phần hiển thị có thể trỏ tới tenant SharePoint thật nhưng liên kết thực dẫn tới bản sao do kẻ tấn công kiểm soát.
Khuyến nghị: tăng cường phishing resistance, cải thiện khả năng phát hiện theo chuỗi (email–token–post-compromise), siết cấu hình và giám sát bất thường trong Microsoft 365 (quy tắc hộp thư, truy cập token, hành vi gửi/xóa).