Microsoft зірвала роботу EvilTokens, яка скомпрометувала 12 000 акаунтів

Microsoft заявила, що очолила міжнародну операцію проти платформи EvilTokens, яка автоматизувала масові атаки на облікові записи Microsoft. За кілька місяців користувачі сервісу скомпрометували 12 000 акаунтів у 10 000 організаціях по всьому світу.

Сервіс працював за передплатою: стартовий внесок становив 1500 доларів, а щомісячна плата — 500 доларів. Microsoft повідомила, що вилучила 50 сайтів і ще 150 доменів, пов’язаних із платформою; британська поліція затримала двох чоловіків за підозрою у правопорушеннях, пов’язаних із нею.

Штучний інтелект аналізував пошту

EvilTokens запустили через канал у Telegram у лютому. Платформа аналізувала до 5000 скомпрометованих листів за один раз, визначала працівників із доступом до великих платежів і створювала сценарії для виманювання переказів на рахунки зловмисників.

За даними Microsoft, вбудований чат-бот також знаходив довірені контакти, платіжні повноваження та інші обставини, які могли підвищити шанси шахрайства. Сервіс допомагав створювати повідомлення від імені знайомих або довірених осіб.

Атаки використовували OAuth

Зловмисники застосовували легітимний механізм OAuth — автентифікацію за кодом пристрою, призначену, зокрема, для телевізорів та інших пристроїв із обмеженим введенням. Після переходу за шкідливим посиланням жертва бачила код і вводила його на офіційному порталі входу Microsoft, що давало нападнику змогу зареєструвати власний пристрій.

Платформа автоматизувала масове надсилання спаму, генерацію динамічних кодів і дії після отримання доступу. SpyCloud, яка допомагала Microsoft в операції, ідентифікувала постачальника облікових даних як Microsoft Entra.

Найбільше постраждалих організацій було у США; далі за кількістю згадувалися Канада, Велика Британія, Австралія, Індія та Франція. Серед секторів — оптова торгівля, будівництво, фінансові послуги, нерухомість, вища освіта та охорона здоров’я.

Microsoft заявила, що після компрометації зловмисники можуть зрозуміти вміст поштової скриньки за хвилини. Компанія рекомендувала посилювати захист облікових записів і окремо перевіряти запити на зміну платіжних реквізитів, переказ коштів або незвичні транзакції.