Cisco Talos afferma che EvilTokens è più di un semplice kit di phishing

Cisco Talos afferma che l’ecosistema di phishing basato sui codici dispositivo, noto come EvilTokens, è più capace e gestito con maggiore attenzione di quanto suggerissero le precedenti analisi. La campagna è progettata per sottrarre i token di autenticazione Microsoft, aggirare l’autenticazione a più fattori e consentire agli aggressori di accedere ai servizi Microsoft 365 fingendosi la vittima.

In una nuova ricerca pubblicata mercoledì, gli incident responder di Talos hanno descritto come l’esca di phishing raggiunga gli obiettivi e hanno evidenziato ulteriori funzionalità di elusione integrate nell’operazione. Il team ha inoltre individuato un pannello di phishing-as-a-service denominato ARToken, che sembra essere collegato a EvilTokens tramite infrastrutture condivise, comportamenti API corrispondenti e schemi operativi simili.

Distribuzione mirata attraverso un rapporto con un fornitore affidabile

Secondo il ricercatore di Talos Michael Kelley, il messaggio di phishing non faceva parte di una campagna di spam ampia e poco sofisticata. Al contrario, sfruttava un rapporto commerciale reale tra un’azienda statunitense del settore delle scienze della vita e un legittimo appaltatore di impianti idraulici e sistemi antincendio. L’email si spacciava per una notifica relativa a una fattura non pagata e utilizzava il dominio reale dell’appaltatore nei dettagli visibili del mittente.

Sebbene il corpo del messaggio contenesse un link a una pagina SharePoint, la destinazione era una copia controllata dagli aggressori, ospitata in un tenant Microsoft 365 separato. Poiché il link puntava comunque a un indirizzo legittimo di sharepoint.com, era meno probabile che l’esca destasse sospetti o attivasse i filtri email comuni. Anche il campo reply-to inviava le risposte a un dominio diverso e non correlato.

Un toolkit post-compromissione più ampio

Talos afferma che il pannello operatore di ARToken offre più delle funzionalità di base per il phishing tramite codici dispositivo. La piattaforma include la gestione dei token, opzioni di persistenza e un toolkit integrato per la compromissione della posta elettronica aziendale. Il toolkit può:

• leggere le caselle Outlook delle vittime
• inviare messaggi a nome dell’utente compromesso
• creare regole della posta in arrivo per inoltrare o eliminare le email
• monitorare gli account compromessi alla ricerca di parole chiave selezionate

I ricercatori hanno affermato che queste funzionalità indicano un’operazione matura, finalizzata all’accesso prolungato e alla monetizzazione, anziché a una campagna estemporanea di furto delle credenziali. Talos ha inoltre rilevato tecniche anti-analisi ed evasione più avanzate di quelle documentate in precedenza.

EvilTokens è stato descritto per la prima volta dalla società di sicurezza francese Sekoia a marzo, e Microsoft ha successivamente avvertito che le campagne di phishing tramite codici dispositivo stavano colpendo centinaia di organizzazioni al giorno. I risultati di Talos contribuiscono a delineare ulteriormente il fenomeno, mostrando che l’ecosistema potrebbe supportare un flusso completo di compromissione della posta elettronica aziendale, non soltanto la cattura iniziale degli account.