La police londonienne a arrêté deux hommes de 32 et 38 ans, soupçonnés d'administrer EvilTokens, pendant que Microsoft saisissait 50 sites web liés à ce service d'hameçonnage par abonnement. Depuis février, ses clients ont compromis plus de 12 000 boîtes mail Microsoft 365 sans jamais voler de mot de passe.
On vous parlait ce printemps de l'essor des kits de phishing par code d'appareil vendus clés en main sur Telegram. Ces attaques avaient multipliées par 37,5 selon les chercheurs de Push Security, seulement en quelques semaines, et EvilTokens était l'une des plateformes les plus utilisées, d'après Microsoft.
Les pirates détournent une méthode de connexion prévue par Microsoft pour les téléviseurs connectés et les autres appareils sans clavier. L'utilisateur lit un code court sur l'écran de l'appareil, puis le saisit depuis un ordinateur ou un smartphone pour l'autoriser. Avec EvilTokens, l'attaquant génère ce code avant de l'envoyer à sa cible. En le saisissant sur la véritable page microsoft.com/devicelogin, la victime autorise la session du pirate, double authentification comprise, le tout à son insu.
Le kit EvilTokens vendu 1 500 dollars sur Telegram
Pour les équipes de Microsoft Threat Intelligence, Storm-2992 est le groupe à l'origine d'EvilTokens, sans lien connu avec les grands réseaux cybercriminels. Ses membres vendaient le kit 1 500 dollars sur leurs chaînes Telegram, puis 500 dollars par mois pour garder l'accès au panneau de contrôle, et facturaient à part plusieurs modules complémentaires, dont un outil de redirection antibot. Une fois connecté, l'abonné choisissait l'un des 44 thèmes de leurres proposés, de la fausse facture à l'appel d'offres, et pouvait confier la rédaction de l'e-mail à un assistant d'intelligence artificielle, avec un message adapté au poste du destinataire.
Après l'intrusion, l'abonné conservait un accès complet à la boîte mail de la victime, avec un renouvellement automatique des jetons et des alertes par mots-clés reçues sur Telegram. Dans notre article de juillet consacré à EvilTokens, vous pouviez lire qu'un jeton d'actualisation volé est valable environ 90 jours. Les pirates utilisaient aussi l'IA de la plateforme pour repérer, au sein des comptes compromis, les salariés habilités à valider des paiements, puis fouiller leurs échanges à la recherche de virements et de factures en attente. « L'IA n'aidait pas simplement les attaquants à écrire des messages plus convaincants. Elle les aidait à décider qui cibler », a expliqué Steven Masada, conseiller juridique adjoint de la Digital Crimes Unit de Microsoft, cité par CyberScoop.
Tanmay Ganacharya est vice-président de la recherche en sécurité chez Microsoft. Il a indiqué à The Register que ses équipes observaient chaque jour entre 10 et 15 nouvelles campagnes depuis le 15 mars. Au total, plus de 12 000 boîtes mail ont été compromises dans plus de 10 000 organisations, en France, aux États-Unis, au Canada, au Royaume-Uni, en Australie et en Inde. Pour les opérateurs d'EvilTokens, l'affaire était rentable. Ils ont encaissé environ 1,1 million de dollars en cryptomonnaies grâce à plus de 1 000 dépôts venus de 700 adresses, d'après les données de Coinbase publiées par CyberScoop.
Deux administrateurs présumés d'EvilTokens arrêtés à Londres
En août, Microsoft a transmis ses conclusions à la police métropolitaine de Londres. Le 18 septembre, les policiers ont perquisitionné deux adresses à Canary Wharf et à Nine Elms, où ils ont arrêté deux hommes de 32 et 38 ans, soupçonnés de fabrication d'articles destinés à la fraude et de blanchiment d'argent. Tous deux sont libres sous caution pendant la suite de l'enquête, et Microsoft n'a pas dévoilé leur identité. « La Met est déterminée à demander des comptes aux personnes qui facilitent des activités criminelles en pensant passer inaperçues. Nous vous trouverons et nous agirons », a prévenu Serena D'Adamo, inspectrice de la police métropolitaine. Un porte-parole de Microsoft a ajouté que d'autres personnes avaient probablement soutenu le service.
Trois jours avant ces arrestations, un tribunal fédéral de Virginie avait autorisé Microsoft et Health-ISAC à saisir l'infrastructure du service. Cette organisation mutualise les alertes de cybersécurité des établissements de santé. Avec Cloudflare, Coinbase, OpenAI ou encore TRM Labs, les deux organisations ont mis hors ligne 50 sites web et désactivé plus de 150 domaines. Microsoft en est à sa 40e action de ce genre validée par un tribunal.
Dans les entreprises, Microsoft conseille de bloquer la connexion par code d'appareil au moyen des stratégies d'accès conditionnel d'Entra ID, sauf pour les rares équipements incompatibles avec une autre méthode. Quand un administrateur révoque les sessions d'un compte compromis, les jetons d'accès sont encore valides jusqu'à une heure, si bien que l'éditeur recommande de désactiver temporairement le compte. Au printemps, Push Security recensait d'ailleurs plus de dix kits concurrents. « L'infrastructure d'EvilTokens a été démantelée, mais le modèle qu'elle a démontré ne disparaîtra pas avec elle », a averti Steven Masada.
