شرکت مایکروسافت (Microsoft) از متوقف شدن فعالیت سرویس فیشینگ EvilTokens خبر داد. این پلتفرم که توسط گروه تهدیدی Storm-2992 مدیریت می‌شد، از هوش مصنوعی (AI) در تمامی مراحل زنجیره حمله برای تسهیل سرقت حساب‌ها و کلاهبرداری‌های مالی استفاده می‌کرد.
مکانیزم حمله: سوءاستفاده از Device Code Flow
سرویس EvilTokens به عنوان یک مدل Phishing-as-a-Service (PhaaS) عمل می‌کرد و از نقص‌های موجود در جریان احراز هویت OAuth 2.0 Device Authorization سوءاستفاده می‌نمود. در این روش، مهاجم کد دستگاه (Device Code) را برای قربانی ارسال می‌کند و کاربر را ترغیب می‌کند تا این کد را در صفحه رسمی مایکروسافت (microsoft.com/devicelogin) وارد کند. پس از تایید کاربر، سرورهای احراز هویت، Access Token و Refresh Token را برای مهاجم صادر می‌کنند که منجر به دسترسی کامل به صندوق ورودی (Inbox) قربانی بدون نیاز به رمز عبور می‌شود.
نقش هوش مصنوعی در اتوماسیون BEC
آنچه EvilTokens را متمایز می‌کرد، استفاده گسترده از AI برای تحلیل داده‌های سرقتی بود. این پلتفرم دارای یک چت‌بات پیشرفته بود که می‌توانست:
- محتوای ایمیل‌های قربانی را تحلیل کرده و روابط مورد اعتماد و مسئولین پرداخت را شناسایی کند.
- استراتژی‌های کلاهبرداری را پیشنهاد داده و پیام‌های جعل‌شده (Impersonation) برای فریب قربانیان بنویسد.
- ایمیل‌ها را به زبان‌های مختلف ترجمه و خلاصه کرده تا اهداف باارزش برای حملات Business Email Compromise (BEC) شناسایی شوند.
زیرساخت و مدل درآمدی
این سرویس از طریق تلگرام به فروش می‌رسید و مدل درآمدی آن شامل پرداخت اولیه ۱۵۰۰ دلاری برای دسترسی به پنل مدیریت و حق اشتراک ماهانه ۵۰۰ دلاری بود. برای دور زدن سیستم‌های امنیتی و Email Gateways، این گروه از زیرساخت‌های Serverless مانند Cloudflare Workers، AWS Lambda و Vercel استفاده می‌کرد تا ترافیک مخرب را در میان ترافیک تجاری قانونی پنهان کند.
ابعاد خسارت و عملیات متوقف‌سازی
بر اساس گزارش‌ها، این سرویس منجر به نفوذ به بیش از ۱۲,۰۰۰ حساب ایمیل در ۱۰,۰۰۰ سازمان در سراسر جهان شده است. در عملیاتی مشترک بین مایکروسافت و سازمان‌های امنیتی، ۵۰ وب‌سایت فعال این سرویس توقیف و بیش از ۱۵۰ دامنه مرتبط با زیرساخت آن غیرفعال شد. همچنین گزارش شده است که این پلتفرم حدود ۱.۱ میلیون دلار درآمد از طریق ارزهای دیجیتال (شبکه Tron) کسب کرده بود.
