در یک عملیات مشترک بین مایکروسافت، کوین‌بیس (Coinbase) و نهادهای انتظامی، پلتفرم EvilTokens که یک کیت فیشینگ پیشرفته به مدل سرویس (Phishing-as-a-Service) بود، متوقف شد. این پلتفرم که توسط عامل تهدید Storm-2992 اداره می‌شد، توانست بیش از ۱۲,۰۰۰ صندوق ورودی (Inbox) را در ۱۰,۰۰۰ سازمان مختلف به مخاطره بیندازد.
مدل کسب‌وکار و قابلیت‌های AI
پلتفرم EvilTokens از طریق تلگرام به مجرمان سایبری فروخته می‌شد و هزینه آن شامل ۱,۵۰۰ دلار مبلغ اولیه و ۵۰۰ دلار هزینه ماهانه بود. این سرویس دارای یک پنل مدیریتی جامع برای ساخت کمپین‌های فیشینگ، شخصی‌سازی صفحات فرود (Landing Pages) و مدیریت توکن‌های احرازی سرقتی بود. نکته متمایز این پلتفرم، استفاده از هوش مصنوعی (AI) برای تحلیل محتوای ایمیل‌های قربانیان بود تا افراد دارای دسترسی به پرداخت‌ها و حساب‌های باارزش شناسایی شوند؛ فرآیندی که پیش‌تر ساعت‌ها زمان می‌برد و اکنون در چند ثانیه انجام می‌شد.
تکنیک Device Code Phishing و دور زدن MFA
هسته اصلی حملات این گروه بر پایه تکنیک Device Code Phishing استوار بود. در این روش، مهاجم از جریان ورود با کد دستگاه (که برای تجهیزاتی مانند تلویزیون‌های هوشمند طراحی شده) سوءاستفاده می‌کند. مراحل حمله به شرح زیر است:
- ارسال ایمیل‌های فریبنده (مانند درخواست‌های DocuSign یا صورت‌حساب‌ها) که قربانی را به یک صفحه جعلی هدایت می‌کند.
- در پشت صحنه، مهاجم یک کد دستگاه واقعی از مایکروسافت درخواست می‌کند.
- قربانی کد را مشاهده کرده و طبق دستورالعمل، آن را در صفحه رسمی مایکروسافت وارد می‌کند تا «هویت خود را تایید کند».
- با این اقدام، کاربر بدون اینکه متوجه شود، نشست (Session) مهاجم را تایید کرده و دسترسی کامل به حساب را بدون نیاز به رمز عبور فراهم می‌کند.
از آنجایی که احراز هویت روی زیرساخت قانونی مایکروسافت انجام می‌شود، مکانیزم‌های MFA (احراز هویت چندعاملی) به‌طور کامل دور زده می‌شوند و هیچ هشدار مشکوکی صادر نمی‌گردد.
تثبیت دسترسی و سرقت مالی
پس از نفوذ، مهاجمان برای حفظ دسترسی (Persistence) اقدامات زیر را انجام می‌دادند:
- ثبت دستگاه‌های جدید در Entra ID برای حفظ دسترسی حتی پس از تغییر رمز عبور.
- ایجاد قوانین مخفی در Inbox برای حذف شواهد و سرکوب هشدارها.
- نفوذ به رشته-ایمیل‌های (Email Threads) جاری برای تغییر شماره حساب‌های پرداخت یا هدایت وجوه به کیف پول‌های Cryptocurrency.
جزئیات عملیات متوقف‌سازی (Takedown)
توقف این شبکه نیازمند همکاری گسترده بود. واحد جرایم دیجیتال مایکروسافت منجر به توقیف ۵۰ وب‌سایت و غیرفعال‌سازی ۱۷۵ دامنه شد. نقش کوین‌بیس در این عملیات حیاتی بود؛ تیم تحلیل این شرکت با ردیابی جریان مالی در بلاک‌چین Tron، حدود ۱.۱ میلیون دلار درآمد این گروه را ردیابی کرد که در نهایت منجر به شناسایی و بازداشت اپراتور این پلتفرم توسط پلیس لندن در ۱۱ سپتامبر شد.
