Cisco Talos: EvilTokens ist mehr als ein einfaches Phishing-Kit

Cisco Talos zufolge ist das als EvilTokens bekannte Gerätecode-Phishing-Ökosystem leistungsfähiger und sorgfältiger betrieben als frühere Berichte vermuten ließen. Die Kampagne zielt darauf ab, Microsoft-Authentifizierungstoken zu stehlen, die Multi-Faktor-Authentifizierung zu umgehen und Angreifern die Anmeldung bei Microsoft-365-Diensten als Opfer zu ermöglichen.

In einer am Mittwoch veröffentlichten neuen Untersuchung beschrieben die Incident Responder von Talos, wie die Phishing-Köder ihre Ziele erreichen, und hoben zusätzliche Umgehungsfunktionen hervor, die in die Operation integriert sind. Das Team identifizierte außerdem ein Phishing-as-a-Service-Panel namens ARToken, das offenbar über gemeinsam genutzte Infrastruktur, übereinstimmendes API-Verhalten und ähnliche operative Muster mit EvilTokens verbunden ist.

Gezielte Zustellung über eine vertrauenswürdige Geschäftsbeziehung

Laut dem Talos-Forscher Michael Kelley handelte es sich bei der Phishing-Nachricht nicht um eine breit angelegte Spam-Kampagne mit geringem Aufwand. Stattdessen nutzte sie eine tatsächliche Geschäftsbeziehung zwischen einem US-amerikanischen Life-Science-Unternehmen und einem legitimen Auftragnehmer für Sanitär- und Brandschutztechnik. Die E-Mail gab sich als Benachrichtigung über eine unbezahlte Rechnung aus und verwendete in den sichtbaren Absenderangaben die echte Domain des Auftragnehmers.

Obwohl der Nachrichtentext auf eine SharePoint-Seite verwies, führte das Ziel zu einer von den Angreifern kontrollierten Kopie, die in einem separaten Microsoft-365-Tenant gehostet wurde. Da der Link weiterhin auf eine legitime sharepoint.com-Adresse verwies, war es weniger wahrscheinlich, dass der Köder Verdacht erregte oder gängige E-Mail-Filter auslöste. Das Reply-to-Feld leitete Antworten außerdem an eine andere, nicht verbundene Domain weiter.

Ein umfassenderes Toolset nach der Kompromittierung

Talos zufolge bietet das Betreiber-Panel von ARToken mehr als einfaches Gerätecode-Phishing. Die Plattform umfasst Funktionen zur Token-Verarbeitung, Optionen für Persistenz und ein integriertes Toolkit für Business-E-Mail-Kompromittierungen. Dieses Toolkit kann:

• die Outlook-Postfächer der Opfer lesen
• Nachrichten als der kompromittierte Benutzer versenden
• Posteingangsregeln zum Weiterleiten oder Löschen von E-Mails erstellen
• kompromittierte Konten auf ausgewählte Schlüsselwörter überwachen

Die Forscher erklärten, dass diese Funktionen auf eine ausgereifte Operation hindeuten, die auf langfristigen Zugriff und Monetarisierung statt auf den einmaligen Diebstahl von Zugangsdaten ausgerichtet ist. Talos stellte außerdem fortschrittlichere Techniken zur Analyseverhinderung und Umgehung fest, als zuvor dokumentiert worden waren.

EvilTokens wurde erstmals im März vom französischen Sicherheitsunternehmen Sekoia beschrieben. Später warnte Microsoft, dass Gerätecode-Phishing-Kampagnen täglich Hunderte Organisationen betrafen. Die Erkenntnisse von Talos ergänzen dieses Bild und zeigen, dass das Ökosystem möglicherweise einen vollständigen Workflow für Business-E-Mail-Kompromittierungen unterstützt und nicht nur die anfängliche Übernahme von Konten.