واحد جرایم دیجیتال مایکروسافت (DCU) در همکاری با سازمان‌های انتظامی و شرکت‌های امنیتی، موفق به مختل کردن زیرساخت‌های پلتفرم EvilTokens شد. این پلتفرم که به مدل Phishing-as-a-Service (PhaaS) یا «فیشینگ به عنوان سرویس» فعالیت می‌کرد، منجر بهe Compromise شدن بیش از ۱۲,۰۰۰ حساب کاربری مایکروسافت در ۱۰,۰۰۰ سازمان مختلف در سراسر جهان شده بود.
تحلیل فنی متدولوژی حمله
گروه تهدید Storm-2992 (نامگذاری شده توسط مایکروسافت) از این پلتفرم برای اجرای حملات پیشرفته استفاده می‌کرد. ویژگی متمایز این سرویس، بهره‌برداری از مکانیزم Device Code Authentication در پروتکل OAuth 2.0 بود. این متدولوژی به مهاجمان اجازه می‌دهد تا با سوءاستفاده از جریان احراز هویت دستگاه‌هایی با ورودی محدود (مانند Smart TV یا پرینترها)، توکن‌های دسترسی را حتی در صورت فعال بودن MFA (احراز هویت چندعاملی) به دست آورند.
- جریان حمله: مهاجم یک درخواست Device Code ایجاد کرده و کد دریافتی را از طریق یک لور (Lure) فیشینگ برای قربانی ارسال می‌کند. قربانی با هدایت به پورتال قانونی مایکروسافت، کد را تایید کرده و بدون نیاز به سرقت رمز عبور، توکن دسترسی را برای مهاجم فعال می‌کند.
- بهره‌گیری از AI: این پلتفرم از ابزارهای مبتنی بر هوش مصنوعی برای تحلیل محتوای صندوق ورودی (Inbox) قربانیان، شناسایی اهداف با ارزش بالا و تولید پیام‌های متقاعدکننده برای حملات BEC (Business Email Compromise) استفاده می‌کرد.
- تکنیک‌های ضد-تشخیص: برای دور زدن سیستم‌های تحلیل خودکار، EvilTokens از Redirectهای چندمرحله‌ای، فایل‌های PDF، صفحات CAPTCHA جعلی و مسیریابی ترافیک از طریق سرویس‌های ابری معتبر مانند AWS Lambda، Cloudflare Workers و Vercel استفاده می‌نمود.
تاثیرات و ابعاد عملیاتی
بر اساس داده‌های SpyCloud، حدود ۹۷.۵٪ از حساب‌های آسیب‌دیده متعلق به دامنه‌های سازمانی بوده‌اند. این حملات عمدتاً بخش‌های توزیع عمده، خدمات مالی، بهداشت و درمان و آموزش عالی را هدف قرار داده بود. در جریان این عملیات، دو نفر از مدیران این وب‌سایت در بریتانیا بازداشت شدند.
راهکارهای مقابله و پیشگیری
با توجه به اینکه نسخه‌های مشابه (Clones) مانند APToken همچنان فعال هستند، توصیه می‌شود سازمان‌ها اقدامات زیر را به سرعت پیاده‌سازی کنند:
- غیرفعال‌سازی Device Code: در صورتی که سازمان به احراز هویت کد-دستگاهی نیاز ندارد، این قابلیت را در سطح Tenant غیرفعال کند.
- استفاده از MFA مقاوم در برابر فیشینگ: جایگزینی متدهای سنتی با کلیدهای امنیتی FIDO2 یا Passkeys.
- مانیتورینگ: نظارت دقیق بر فعالیت‌های Login مشکوک و بررسی درخواست‌های غیرمعمول OAuth.
