Microsoft triệt phá dịch vụ phishing EvilTokens
"Microsoft announced the takedown of EvilTokens, a phishing-as-a-service platform that abused the OAuth 2.0 device authorization flow to steal Microsoft account tokens and maintain access to victim inboxes. The operation, conducted with court authorization and industry partners, was linked to about 12,000 inbox compromises and enabled AI-assisted mailbox analysis, phishing, and business email compromise; no CVE was disclosed, and the mitigation was service disruption plus arrests tied to the operation."
Tác động bảo mật cao do đánh cắp token, duy trì truy cập hộp thư và hỗ trợ BEC ở quy mô lớn.
Có thể gây gián đoạn email, rủi ro gian lận thanh toán và ảnh hưởng đến niềm tin đối tác nếu hộp thư doanh nghiệp bị chiếm quyền.
Microsoft cho biết đã gỡ bỏ EvilTokens, một nền tảng phishing-as-a-service (PhaaS) lợi dụng OAuth 2.0 device authorization flow để đánh cắp Microsoft account tokens và duy trì quyền truy cập vào hộp thư nạn nhân. Chiến dịch được thực hiện theo ủy quyền của tòa án tại Hoa Kỳ, với sự phối hợp của nhiều đối tác trong ngành như Cloudflare, Coinbase, OpenAI, SpyCloud, The Shadowserver Foundation và TRM Labs. Microsoft đang theo dõi nhóm đứng sau với mã định danh Storm-2992.
Theo mô tả, EvilTokens tích hợp AI vào nhiều bước của chuỗi tấn công, từ phân tích hộp thư, xác định quan hệ tin cậy, đến soạn nội dung lừa đảo phục vụ business email compromise (BEC) và gian lận thanh toán. Dịch vụ này được cho là liên quan đến khoảng 12.000 vụ xâm nhập hộp thư. Ngoài việc chiếm quyền truy cập, kẻ tấn công còn có thể tạo inbox rules độc hại để che giấu trao đổi và duy trì hiện diện lâu dài.
Khuyến nghị cho đội kỹ thuật: tăng cường giám sát đăng nhập bất thường, rà soát device code phishing, kiểm tra và vô hiệu hóa mailbox rules đáng ngờ, đồng thời áp dụng MFA và chính sách hạn chế cấp quyền cho ứng dụng/thiết bị chưa được xác thực. Nếu phát hiện dấu hiệu lộ token, cần thu hồi phiên đăng nhập và xoay vòng thông tin xác thực liên quan.