Cisco Talos affirme qu’EvilTokens est bien plus qu’un simple kit d’hameçonnage

Cisco Talos affirme que l’écosystème d’hameçonnage par code d’appareil connu sous le nom d’EvilTokens est plus performant et exploité avec davantage de précautions que ne le laissaient penser les premiers rapports. La campagne est conçue pour dérober les jetons d’authentification Microsoft, contourner l’authentification multifacteur et permettre aux attaquants de se connecter aux services Microsoft 365 en se faisant passer pour la victime.

Dans une nouvelle étude publiée mercredi, les spécialistes de la réponse aux incidents de Talos ont décrit la manière dont le leurre d’hameçonnage atteint ses cibles et ont mis en évidence des fonctions d’évasion supplémentaires intégrées à l’opération. L’équipe a également identifié un panneau d’hameçonnage en tant que service appelé ARToken, qui semble être lié à EvilTokens par une infrastructure partagée, un comportement d’API similaire et des modes opératoires comparables.

Distribution ciblée via une relation avec un fournisseur de confiance

Selon le chercheur de Talos Michael Kelley, le message d’hameçonnage ne faisait pas partie d’une vaste campagne de spam rudimentaire. Il exploitait plutôt une relation commerciale réelle entre une entreprise américaine du secteur des sciences de la vie et un prestataire légitime de plomberie et de protection contre les incendies. L’e-mail imitait une notification de facture impayée et utilisait le véritable domaine du prestataire dans les informations visibles de l’expéditeur.

Bien que le corps du message renvoie vers une page SharePoint, la destination était une copie contrôlée par les attaquants et hébergée dans un autre locataire Microsoft 365. Comme le lien pointait toujours vers une adresse légitime de sharepoint.com, le leurre était moins susceptible de susciter des soupçons ou de déclencher les filtres de messagerie courants. Le champ de réponse renvoyait également les réponses vers un autre domaine sans rapport.

Un arsenal post-compromission plus vaste

Talos affirme que le panneau opérateur d’ARToken offre bien plus que de simples fonctions d’hameçonnage par code d’appareil. La plateforme comprend la gestion des jetons, des options de persistance et un ensemble d’outils intégré destiné à la compromission de messageries professionnelles. Cet ensemble permet de :

• lire les boîtes de réception Outlook des victimes
• envoyer des messages au nom de l’utilisateur compromis
• créer des règles de boîte de réception pour transférer ou supprimer les e-mails
• surveiller les comptes compromis à la recherche de mots-clés précis

Les chercheurs ont déclaré que ces fonctionnalités témoignaient d’une opération mature visant à maintenir un accès à long terme et à générer des revenus, plutôt que d’une campagne ponctuelle de vol d’identifiants. Talos a également relevé des techniques d’anti-analyse et d’évasion plus avancées que celles documentées précédemment.

EvilTokens a été décrit pour la première fois par la société française de cybersécurité Sekoia en mars, et Microsoft a ensuite averti que les campagnes d’hameçonnage par code d’appareil touchaient des centaines d’organisations par jour. Les conclusions de Talos complètent ce tableau en montrant que l’écosystème pourrait prendre en charge un processus complet de compromission de messagerie professionnelle, et pas uniquement la capture initiale de comptes.