EvilTokens störs efter att ha komprometterat fler än 12 000 Microsoft-konton

Microsofts Digital Crimes Unit (DCU) uppger att man samordnade störningen av EvilTokens, en phishing-as-a-service-plattform (PhaaS) som komprometterade fler än 12 000 Microsoft-konton i över 10 000 organisationer världen över.

Verksamheten dök upp i februari och använde nätfiske med enhetskoder för att få tag i autentiseringstoken trots skydd med flerfaktorsautentisering. EvilTokens erbjöd också AI-verktyg för att analysera inkorgar, hitta värdefulla mål och skapa meddelanden för företagsmejlsbedrägerier. Microsoft följer gruppen bakom tjänsten under namnet Storm-2992.

Insatsen omfattade Health-ISAC, brottsbekämpande myndigheter och SpyCloud. Två män, 32 och 38 år gamla, misstänkta för att administrera EvilTokens webbplats greps i Storbritannien efter att information hade lämnats i augusti. Polisen genomförde husrannsakningar på fredagen på adresser i Canary Wharf och Nine Elms. Båda släpptes mot borgen i väntan på fortsatt utredning.

SpyCloud identifierade 8 708 komprometterade konton på 6 585 företagsdomäner i 79 länder. Tjänsten erbjöd 44 anpassningsbara nätfiskepaket via Telegram för 500 dollar i månaden eller en engångsavgift på 1 500 dollar. Microsoft säger att störningen följde efter ett rättsligt beslut om att beslagta aktiv infrastruktur, men att hotet fortfarande är aktivt och väntas minska i omfattning.