Sóng lừa đảo “ghost phishing” mới có thể vượt qua kiểm tra email truyền thống
"A recent EvilTokens phishing campaign is using a "ghost phishing" technique that keeps malicious content hidden until the page decrypts in the victim's browser, allowing it to evade traditional URL and static email inspection. The kit leverages Microsoft Device Code Phishing to drive Microsoft 365 account takeover without stealing passwords directly, with the decrypted HTML protected by AES-GCM and revealed only in the DOM after browser execution. The article does not describe a CVE; the recommended mitigation is browser-level sandbox inspection and in-browser data analysis to expose the full attack flow and support faster containment."
Tác động đáng kể do ghost phishing có thể vượt qua kiểm tra URL/tĩnh và chỉ lộ nội dung trong DOM sau giải mã, làm tăng thời gian chiếm quyền. Điểm then chốt: Microsoft 365 account takeover qua Device Code Phishing; AES-GCM che nội dung cho tới khi trình duyệt thực thi.
Rủi ro vận hành tăng vì phát hiện chậm dẫn đến mở rộng phạm vi sự cố và tăng chi phí điều tra/ứng phó. Điểm then chốt: kéo dài thời gian cô lập; tăng khối lượng phân tích do thiếu bằng chứng đầy đủ từ kiểm tra ban đầu.
Một chiến dịch lừa đảo nhắm vào doanh nghiệp tại Mỹ và châu Âu được cho là do EvilTokens thực hiện, sử dụng kỹ thuật ghost phishing để che nội dung độc hại cho đến khi trang được giải mã và hiển thị trong trình duyệt của nạn nhân. Nhờ vậy, các cơ chế kiểm tra URL và phân tích tĩnh trong email có thể không nhìn thấy phần “thực thi” của trang lừa đảo.
Theo mô tả, bộ công cụ khai thác Microsoft Device Code Phishing nhằm dẫn người dùng hoàn tất luồng đăng nhập hợp pháp và ủy quyền truy cập Microsoft 365, thay vì đánh cắp mật khẩu trực tiếp. Phần HTML của trang được mã hóa bằng AES-GCM, chỉ trở nên khả dụng sau khi trình duyệt giải mã và render nội dung trong DOM.
Bài viết nhấn mạnh khoảng trống hiển thị khiến SOC có thể phát hiện muộn, kéo dài thời gian chiếm quyền tài khoản và làm tăng chi phí điều tra. Khuyến nghị trọng tâm là mở liên kết đáng ngờ trong sandbox có phân tích dữ liệu trong trình duyệt để quan sát luồng sau giải mã, theo dõi thay đổi DOM, yêu cầu Fetch/XHR, và truy vết endpoint liên quan đến luồng device-code (ví dụ /api/device/start). Đồng thời, dùng bằng chứng thu được để rút ngắn thời gian chuyển giao giữa các cấp phân tích và tăng tốc cô lập hạ tầng liên quan.