شرکت مایکروسافت اخیراً نسبت به فعالیت پلتفرم EvilTokens هشدار داده است؛ یک سرویس «فیشینگ به عنوان سرویس» (Phishing-as-a-Service) که با بهره‌گیری از هوش مصنوعی، حملات پیچیده‌ای را برای سرقت توکن‌های دسترسی (Access Tokens) اجرا می‌کند. بر اساس گزارش‌ها، این پلتفرم از فوریه ۲۰۲۶ تاکنون منجر به به‌پای‌دستی بیش از ۱۲,۰۰۰ صندوق ورودی ایمیل در ۱۰,۰۰۰ سازمان مختلف در سراسر جهان شده است.
مکانیزم حمله و سوءاستفاده از Device Code
این عملیات که توسط عامل تهدید Storm-2992 هدایت می‌شود، به جای سرقت مستقیم رمز عبور، از متد Device-code authentication سوءاستفاده می‌کند. در این سناریو، مهاجم یک نشست احراز هویت کد-دستگاه را آغاز کرده و از طریق مهندسی اجتماعی، کاربر را ترغیب می‌کند تا کدی را که توسط مهاجم تولید شده در پورتال رسمی microsoft.com/devicelogin وارد کند.
نکته خطرناک این تکنیک در این است که کاربر تمام مراحل تایید رمز عبور و MFA (احراز هویت چندعاملی) را در یک صفحه واقعی مایکروسافت طی می‌کند، اما این تاییدیه در واقع نشست (Session) مهاجم را فعال کرده و توکن‌های دسترسی معتبر را در اختیار او قرار می‌دهد. در واقع، MFA در اینجا به جای جلوگیری از حمله، بخشی از مسیر نفوذ می‌شود.
اتوماسیون و زیرساخت‌های ابری
پلتفرم EvilTokens برای افزایش نرخ موفقیت، از قابلیت‌های زیر استفاده می‌کند:
- تولید کد On-demand: پنجره ۱۵ دقیقه‌ای اعتبار کد تنها پس از تعامل کاربر با لینک فیشینگ فعال می‌شود تا محدودیت‌های کدهای استاتیک قدیمی برطرف گردد.
- کپی خودکار: کدهای دستگاه به صورت خودکار در Clipboard قربانی کپی می‌شوند تا اصطکاک کاربر در مسیر احراز هویت کاهش یابد.
- زیرساخت Serverless: استفاده از Node.js polling nodes در سرویس‌هایی مانند Railway، Vercel و AWS Lambda باعث می‌شود ترافیک مخرب با فعالیت‌های معمول سازمانی ترکیب شده و شناسایی آن از طریق Reputation-based blocking دشوار شود.
مدل تجاری و قابلیت‌های BEC
عامل تهدید Storm-2992 این سرویس را از طریق کانال‌های تلگرام بازاریابی می‌کند. هزینه خرید اولیه این کیت ۱,۵۰۰ دلار و حق اشتراک ماهانه آن ۵۰۰ دلار است. این پلتفرم شامل ۴۴ تم مختلف (مانند صورت‌حساب‌ها، درخواست‌های امضای الکترونیک و هشدهای سرویس‌های ابری) است که با کمک AI برای نقش‌های شغلی خاص شخصی‌سازی می‌شوند.
پس از سرقت توکن، این ابزار به یک پلتفرم تسهیل‌کننده BEC (Business Email Compromise) تبدیل می‌شود. مهاجمان با استفاده از Microsoft Graph، ساختار سازمانی را شناسایی کرده و به دنبال مکاتبات مالی، جزئیات انتقال وجه و مخاطبان حساس برای اجرای حملات زنجیره‌ای می‌گردند.
توصیه‌های امنیتی برای SOC و مدیران IT
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- غیرفعال‌سازی Device-code authentication: در تمامی بخش‌هایی که نیاز عملیاتی ندارند، این قابلیت را مسدود کنید.
- سیاست‌های Conditional Access: اجرای سخت‌گیرانه سیاست‌های دسترسی مشروط و فعال‌سازی Safe Links در Defender for Office 365.
- مانیتورینگ دقیق: رصد تلاش‌های احراز هویت با کد خطای 50199 که بلافاصله با یک ورود موفقیت‌آمیز دنبال شده است.
- مدیریت نشست‌ها: در صورت شناسایی نفوذ، توصیه می‌شود حساب مورد اثر به طور موقت غیرفعال شود، زیرا ابطال Refresh Tokenها ممکن است بلافاصله تمام Access Tokenهای فعال را باطل نکند.
