پلتفرم EvilTokens که از فوریه ۲۰۲۶ ظهور کرد، به یکی از گسترده‌ترین سرویس‌های فیشینگ به عنوان سرویس (PhaaS) تبدیل شده است. این پلتفرم با بهره‌گیری از قابلیت‌های هوش مصنوعی (AI)، به مهاجمان اجازه می‌دهد تا پیام‌های فریبنده را شخصی‌سازی کرده و با تحلیل صندوق‌های ورودی (Inboxes)، اهداف با ارزش بالا را شناسایی کنند. تا کنون این زیرساخت باعث به خطر افتادن بیش از ۱۲,۰۰۰ حساب کاربری در ۱۰,۰۰۰ سازمان در سراسر جهان شده است.
مکانیسم حمله: Device Code Phishing چیست؟
قلب تپنده EvilTokens، سوءاستفاده از جریان احراز هویت Device Code است. این متد (OAuth flow) برای دستگاه‌هایی با رابط کاربری محدود (مانند Smart TVها یا پرینترها) طراحی شده است که قادر به اجرای صفحه Sign-in استاندارد نیستند. در حالت عادی، دستگاه یک کد کوتاه نمایش می‌دهد و کاربر باید آن را در یک مرورگر مجزا وارد کند.
مهاجمان با جعل این فرآیند، کد را از طریق یک صفحه فیشینگ به کاربر نمایش می‌دهند. زمانی که کاربر کد را در سایت رسمی مایکروسافت وارد می‌کند، در واقع جلسه (Session) مهاجم را احراز هویت کرده و بدون نیاز به افشای رمز عبور، دسترسی کامل به حساب را به مهاجم می‌دهد. این روش به دلیل جداسازی جلسه احراز هویت از جلسه اصلی، می‌تواند مکانیزم‌های سنتی MFA را دور بزند.
ویژگی‌های پلتفرم و عملیات Storm-2992
گروه تهدیدی Storm-2992 توسعه‌دهنده این کیت است و خدمات خود را از طریق تلگرام به فروش می‌رساند. ویژگی‌های کلیدی این پلتفرم عبارتند از:
- پنل مدیریتی پیشرفته: ارائه قالب‌های آماده، مدیریت دامنه، منطق Redirect و ردیابی قربانیان.
- بهره‌گیری از AI: استفاده از دستیارهای هوشمند برای تحلیل ایمیل‌های قربانی و مهندسی پیام‌های فیشینگ هدفمند (BEC).
- دور زدن سیستم‌های دفاعی: استفاده از سرویس‌های Serverless مانند Cloudflare Workers، Vercel و AWS Lambda برای مخفی کردن ترافیک مالور و دور زدن Gatewayهای ایمیلی.
- تداوم دسترسی (Persistence): ثبت دستگاه‌های جدید برای تولید Primary Refresh Token (PRT) و ایجاد قوانین Inbox برای پنهان کردن ارتباطات.
راهکارهای مقابله و کاهش ریسک
برای مقابله با این نوع حملات، مدیران امنیت و تیم‌های SOC باید استراتژی‌های لایه‌ای را پیاده‌سازی کنند:
- محدود کردن Device Code Flow: در صورت عدم نیاز، این جریان را در Conditional Access policies مسدود کنید.
- استفاده از MFA مقاوم در برابر فیشینگ: جایگزینی متدهای مبتنی بر SMS با FIDO Tokens یا Passkeys.
- پایش قوانین Inbox: ایجاد هشدار برای شناسایی قوانین مشکوک در صندوق ورودی که ممکن است برای مخفی‌سازی فعالیت مهاجم ایجاد شده باشند.
- بهبود بهداشت شناسه‌ها: اجرای اصل کمترین دسترسی (Least Privilege) و بازبینی دوره‌ای حساب‌های دارای دسترسی بالا.
- فعال‌سازی ZAP: استفاده از قابلیت Zero-hour auto purge در Microsoft Defender برای قرنطینه ایمیل‌های مخرب پس از شناسایی.
