EvilTokens, 12.000’den fazla Microsoft hesabını ele geçirdikten sonra etkisizleştirildi

Microsoft’un Digital Crimes Unit (DCU) birimi, dünya genelinde 10.000’den fazla kuruluşta 12.000’den fazla Microsoft hesabını ele geçiren hizmet olarak kimlik avı (PhaaS) platformu EvilTokens’ın etkisizleştirildiğini açıkladı.

Operasyon şubat ayında ortaya çıktı ve çok faktörlü kimlik doğrulama korumalarına rağmen kimlik doğrulama belirteçleri elde etmek için cihaz kodu kimlik avını kullandı. EvilTokens ayrıca gelen kutularını analiz etmek, değerli hedefleri belirlemek ve iş e-postası dolandırıcılığı mesajları oluşturmak için yapay zekâ araçları sundu. Microsoft, hizmetin arkasındaki grubu Storm-2992 olarak izliyor.

Operasyona Health-ISAC, kolluk kuvvetleri ve SpyCloud katıldı. EvilTokens sitesini yönettiğinden şüphelenilen 32 ve 38 yaşındaki iki erkek, ağustosta alınan bilgilerin ardından Birleşik Krallık’ta tutuklandı. Polis cuma günü Canary Wharf ve Nine Elms’teki adreslerde arama yaptı. İki şüpheli de soruşturma sürerken kefaletle serbest bırakıldı.

SpyCloud, 79 ülkedeki 6.585 kurumsal e-posta alanında 8.708 ele geçirilmiş hesap tespit etti. Hizmet, Telegram üzerinden aylık 500 dolar veya tek seferlik 1.500 dolar karşılığında 44 özelleştirilebilir kimlik avı kiti sunuyordu. Microsoft, kesintinin yasal yetkiyle aktif altyapının ele geçirilmesinin ardından gerçekleştiğini, ancak tehdidin hâlâ aktif olduğunu ve hacminin azalmasının beklendiğini söyledi.