پلتفرم PhaaS با نام ARToken، جعبه‌ابزار فیشینگ Microsoft 365 گروه EvilTokens را افشا کرد

محققان شرکت Cisco Talos یک پلتفرم جدید فیشینگ به‌عنوان سرویس (PhaaS) با نام «ARToken» را کشف کرده‌اند که به نظر می‌رسد وابسته به پلتفرم فیشینگ EvilTokens باشد. این پلتفرم دارای یک پنل مدیریتی مبتنی بر React است که بیش از ۸۰ نقطه پایانی API (API endpoint) را در معرض دید قرار می‌دهد و ابزارهای گسترده‌ای برای به خطر انداختن حساب‌های Microsoft 365 ارائه می‌دهد. ARToken به مهاجمان امکان می‌دهد توکن‌های احراز هویت را سرقت کنند، با استفاده از توکن‌های بازیابی اولیه (Primary Refresh Tokens) دسترسی پایدار ایجاد کنند، و به صندوق‌های پستی Outlook، سایت‌های SharePoint و فایل‌های OneDrive دسترسی داشته باشند. این پلتفرم همچنین از جریان احراز هویت کد دستگاه OAuth 2.0 مایکروسافت سوءاستفاده می‌کند تا احراز هویت چندعاملی (MFA) را دور بزند؛ تکنیکی که به «فیشینگ کد دستگاه» (device code phishing) معروف است.

EvilTokens که نخستین بار در مارس توسط شرکت Sekoia مستندسازی شد، یک سرویس فیشینگ تجاری است که با هزینه راه‌اندازی ۱٬۵۰۰ دلار و اشتراک ماهانه ۵۰۰ دلار به مجرمان سایبری فروخته می‌شود و از هوش مصنوعی برای خودکارسازی کمپین‌های جعل هویت ایمیل تجاری (BEC) بهره می‌گیرد. بر اساس گزارش Push Security در آوریل، حملات فیشینگ کد دستگاه در طول یک سال گذشته ۳۷ برابر افزایش یافته و اکنون حداقل ۱۱ کیت فیشینگ این تکنیک را به مجرمان سایبری ارائه می‌دهند. ARToken علاوه بر قابلیت‌های شناخته‌شده EvilTokens، ویژگی‌های جدیدی نیز دارد؛ از جمله پایش همزمان چندین صندوق پستی ربوده‌شده برای کلمات کلیدی خاص، بارگذاری توکن‌های سرقت‌شده از منابع دیگر، و استفاده از صفحات فیشینگ که محتوای خود را بر اساس موقعیت مکانی قربانی به‌روزرسانی می‌کنند.