شرکت مایکروسافت موفق شد سرویس EvilTokens را که یک پلتفرم «فیشینگ به عنوان سرویس» (Phishing-as-a-Service) مبتنی بر هوش مصنوعی است، متوقف کند. این سرویس از فوریه ۲۰۲۶ تاکنون منجر به نفوذ به بیش از ۱۲,۰۰۰ صندوق پستی در ۱۰,۰۰۰ سازمان در سراسر جهان شده است.
جزئیات عملیات تخریب و بازداشت‌ها
در این عملیات هماهنگ، ۵۰ وب‌سایت فعال EvilTokens توقیف و بیش از ۱۵۰ دامنه پشتیبان این سرویس غیرفعال شدند. همچنین پلیس بریتانیا دو مرد ۳۲ و ۳۸ ساله را در ارتباط با این عملیات بازداشت کرد. این اقدام قانونی توسط دادگاه منطقه شرقی ویرجینیا در ایالات متحده مجوز یافته بود و سازمان Health-ISAC نیز به دلیل هدف قرار قرار گرفتن مراکز بهداشتی، به عنوان شاکی مشترک در این پرونده حضور داشت.
مدل کسب‌وکار و عامل تهدید Storm-2992
مایکروسافت عامل تهدید توسعه‌دهنده این سرویس را Storm-2992 نام‌گذاری کرده است. این پلتفرم از طریق تلگرام تبلیغ می‌شد و هزینه اشتراک آن شامل ۱,۵۰۰ دلار مبلغ اولیه و ۵۰۰ دلار حق اشتراک ماهانه بود. مشتریان این سرویس به قالب‌های فیشینگ، ابزارهای تغییر مسیر (Redirect)، قابلیت‌های مدیریت توکن (Token Management) و پشتیبانی فنی دسترسی داشتند.
بهره‌برداری پیشرفته از AI و متدهای احراز هویت
EvilTokens تنها برای تولید پیام‌های فیشینگ از هوش مصنوعی استفاده نمی‌کرد، بلکه چت‌بات‌های آن قادر بودند:
- صندوق‌های پستی هک شده را تحلیل کرده و کارکنانی که دسترسی پرداخت دارند را شناسایی کنند.
- روابط مورد اعتماد بین قربانیان، مدیران ارشد و سازمان‌های خارجی را نقشه‌برداری کنند.
- با جستجوی صورت‌حساب‌ها و مکاتبات مربوط به حواله‌های بانکی، بهترین فرد برای جعل هویت و اجرای کلاهبرداری‌های مالی را پیشنهاد دهند.
این پلتفرم از مکانیزم Device-code authentication مایکروسافت (که برای دستگاه‌هایی مانند تلویزیون‌های هوشمند و پرینترها طراحی شده) سوءاستفاده می‌کرد. مهاجمان با فریب قربانی برای وارد کردن کد در صفحه رسمی مایکروسافت، یک Session تحت کنترل خود ایجاد می‌کردند که حتی با وجود MFA (احراز هویت چندعاملی)، دسترسی به ایمیل را بدون نیاز به رمز عبور فراهم می‌کرد.
توصیه‌های امنیتی برای مدیران SOC و CISO
مایکروسافت توصیه می‌کند سازمان‌ها اقدامات زیر را برای مقابله با این تکنیک‌ها اجرا کنند:
- غیرفعال کردن Device-code authentication در صورتی که مورد نیاز نباشد.
- محدود کردن دسترسی‌ها از طریق سیاست‌های Conditional Access.
- مانیتورینگ دقیق ثبت دستگاه‌های غیرمعمول و فعالیت‌های Microsoft Graph.
- ابطال توکن‌های سازشی (Revoke compromised tokens) به جای اکتفا به تغییر رمز عبور.
