פלטפורמת דיוג כשירות חדשה בשם ARToken נראית כפועלת כשותפה של מבצע EvilTokens. קשר זה מעניק לחוקרי אבטחה תובנות חדשות על מגוון רחב של כלים שמטרתם לפרוץ חשבונות Microsoft 365.

חוקרי Cisco Talos גילו את השירות במהלך חקירת תגובה לאירוע. הם איתרו לוח בקרה מבוסס React בשם ARToken Panel שחשף יותר מ-80 נקודות קצה של API.

בבדיקת קוד JavaScript בצד הלקוח גילו האנליסטים יכולות שחורגות מכלי דיוג רגילים. השירות מאפשר לתוקפים ללכוד אסימוני Microsoft 365, לשמור גישה באמצעות Primary Refresh Tokens ולהגיע לתיבות דואר של Outlook וכן לתוכן ב-SharePoint וב-OneDrive. הוא מספק גם שיטות להפעלת אתרי דיוג דרך Cloudflare Workers ולייעל משימות רבות של פשרת דואר עסקי.

Talos ציין מספר חפיפות טכניות המצביעות על קשר ישיר בין ARToken לפלטפורמת EvilTokens שדווחה מוקדם יותר השנה. שתיהן משתמשות בקריאות API זהות לזרימות קוד מכשיר של Microsoft, כולל אותה בקשת POST להתחלת אימות מכשיר. הן חולקות גם את אותן נקודות קצה לניהול Primary Refresh Tokens, כולל הגדרה, חידוש והתאוששות לאחר תפוגה.

השירות פועל לפי דפוס פריסה דומה של Cloudflare Workers ורץ כפלטפורמה רבת-דיירים שבה שותפים שולטים בסביבות עבודה נפרדות. EvilTokens מתמקדת בניצול זרימת OAuth 2.0 Device Authorization Grant, שיטה המכונה דיוג קוד מכשיר. הקורבנות מופנים להזין קוד מכשיר תקף של Microsoft בדף הכניסה הרשמי, מה שמאפשר לתוקפים לקבל אסימונים ישירות מ-Microsoft ולעקוף אימות רב-שלבי.

Sekoia תיארה לראשונה את EvilTokens במרץ כשירות בתשלום עם דמי הקמה של 1500 דולר וחיוב חודשי של 500 דולר. ניתוח מאוחר יותר הראה תהליך בסיוע בינה מלאכותית שמעריך תיבות דואר גנובות לפי ערך פיננסי ואז מייצר הודעות BEC מותאמות, כולל תרגומים למפעילים שאינם דוברי אנגלית. Microsoft פרסמה התראות לאחר עלייה חדה במתקפות קוד מכשיר ואימוץ השיטה על ידי קבוצות איום נוספות.

Inside an EvilTokens affiliate platform

Talos פירט את התכונות הזמינות לשותפים לאחר השתלטות על חשבון. לאחר הצלחת שלב קוד המכשיר יכולים המפעילים לרענן אסימונים ולהמירם ל-Primary Refresh Tokens עמידים. כלים נוספים תומכים בגישה מלאה לתיבת דואר, שליחת הודעות בשם הקורבן, יצירת כללים להעברה או הסתרה של דואר, מעקב אחר מספר תיבות דואר בו-זמנית לפי מילות מפתח ואחזור קבצים מצורפים.

התוקפים יכולים גם לנווט, להעלות, להוריד ולשלוט בקבצים ב-SharePoint וב-OneDrive, מה שתומך בגניבת נתונים ובהפצת תוכנות זדוניות נוספות. פונקציות חדשות שלא תועדו בעבר כוללות ניטור בו-זמנית של מספר תיבות דואר, ייבוא אסימונים ממקורות חיצוניים, שיתוף גישה לחשבון והתאמה אוטומטית של תוכן דף הדיוג לפי מיקום הקורבן.

הודעות דיוג קשורות מתחזות לספקים באמצעות פיתיונות חשבוניות שמכוונות לעובדי חשבות. הקישורים נראים כמובילים למיקומי SharePoint לגיטימיים אך למעשה מפנים לדיירים בשליטת התוקף בתוך סביבת Microsoft 365 של היריב.

נתונים עדכניים מצביעים על עלייה חדה באירועי דיוג קוד מכשיר, כאשר ערכות רבות מציעות כעת את הטכניקה לעברייני רשת.