ЗАГОЛОВНИК

Microsoft во вторник объявила о ликвидации фишингового сервиса EvilTokens, который, по заявлению компании, использовал искусственный интеллект (AI) «на каждом этапе атаки». Операция была проведена с санкции Федерального окружного суда Восточного округа Вирджинии. В ней приняли участие Health-ISAC, а также компании Cloudflare, Coinbase, OpenAI, Railway, SpyCloud и организация Shadowserver. Инцидент важен прежде всего масштабом: по данным Microsoft, деятельности EvilTokens сопутствовала компрометация порядка 12 000 почтовых ящиков. Это делает сервис одним из заметных игроков на рынке фишинга как услуги (phishing-as-a-service), где злоумышленники арендуют готовую инфраструктуру для проведения атак, не обладая глубокими техническими навыками.

Подробности

EvilTokens специализировался на device-code фишинге — разновидности атак, эксплуатирующей легитимный механизм OAuth 2.0 device authorization grant. Этот сценарий изначально создавался для устройств без браузера или с ограниченным вводом (например, Smart TV, принтеры, IoT-устройства): пользователю показывается короткий код и ссылка, которые нужно ввести на другом устройстве для авторизации. Злоумышленники используют эту же логику, но выдают себя за доверенное приложение или сервис. Жертва вводит полученный код на настоящей странице входа Microsoft, тем самым предоставляя атакующим токен доступа к своей учётной записи. Такой подход позволяет обходить традиционные средства защиты, включая многие формы MFA: пользователю не нужно передавать пароль, а согласие выдаётся на легитимном домене. По утверждению Microsoft, EvilTokens применял AI на всех стадиях атаки — от подготовки фишинговых материалов до автоматизации взаимодействия с жертвами. Это подтверждает общую тенденцию: генеративные модели всё чаще встраиваются в криминальные сервисы, снижая порог входа и повышая правдоподобие атак. В операции по снятию инфраструктуры участвовал широкий круг организаций — от отраслевых ISAC до облачных провайдеров и платформ. Скоординированные действия такого рода позволяют быстрее блокировать домены, платёжные и хостинговые каналы, которыми пользуются операторы фишинговых сервисов.

Что делать

Организациям рекомендуется проверить, включены ли в tenant-политики ограничения на device code flow. Если сценарий не используется легитимно, его следует отключить. Там, где он необходим, стоит ограничить его применение доверенными приложениями и группами пользователей. Также важно: — включить условный доступ (Conditional Access) с требованием compliant-устройства или доверенной сети для чувствительных операций; — настроить мониторинг событий входа, связанных с device code authentication, и алерты на аномальные выдачи токенов; — проводить обучение сотрудников: объяснять, что код авторизации нельзя вводить по чужой просьбе, даже если ссылка ведёт на настоящий домен Microsoft; — регулярно проверять выданные приложениям разрешения (OAuth permissions) и отзывать подозрительные; — использовать решения класса SIEM/SOAR для корреляции событий и быстрого реагирования на компрометацию учётных записей. Пострадавшим от подобных атак следует немедленно отозвать токены и сессии, сменить пароли и включить MFA там, где она ещё не активна. Итог: история EvilTokens наглядно показывает, что фишинг как услуга становится всё более технологичным, а AI ускоряет и масштабирует атаки. Защита требует не только технических мер, но и постоянного контроля за легитимностью используемых механизмов авторизации.

Источник: The Hacker News