// CLUBIC — MOBILE & WEB
Microsoft et la police britannique démantèlent EvilToken, le service de phishing lié à 12 000 comptes piratés
La police londonienne a arrêté deux hommes de 32 et 38 ans, soupçonnés d'administrer EvilTokens, pendant que Microsoft saisissait 50 sites web liés à ce service d'hameçonnage par abonnement. Depuis février, ses clients ont compromis plus de 12 000 boîtes mail Microsoft 365 sans jamais voler de mot de passe.
On vous parlait ce printemps de l'essor des kits de phishing par code d'appareil vendus clés en main sur Telegram. Ces attaques avaient multipliées par 37,5 selon les chercheurs de Push Security, seulement en quelques semaines, et EvilTokens était l'une des plateformes les plus utilisées, d'après Microsoft.
Les pirates détournent une méthode de connexion prévue par Microsoft pour les téléviseurs connectés et les autres appareils sans clavier. L'utilisateur lit un code court sur l'écran de l'appareil, puis le saisit depuis un ordinateur ou un smartphone pour l'autoriser. Avec EvilTokens, l'attaquant génère ce code avant de l'envoyer à sa cible. En le saisissant sur la véritable page microsoft.com/devicelogin, la victime autorise la session du pirate, double authentification comprise, le tout à son insu.
Pour les équipes de Microsoft Threat Intelligence, Storm-2992 est le groupe à l'origine d'EvilTokens, sans lien connu avec les grands réseaux cybercriminels. Ses membres vendaient le kit 1 500 dollars sur leurs chaînes Telegram, puis 500 dollars par mois pour garder l'accès au panneau de contrôle, et facturaient à part plusieurs modules complémentaires, dont un outil de redirection antibot. Une fois connecté, l'abonné choisissait l'un des 44 thèmes de leurres proposés, de la fausse facture à l'appel d'offres, et pouvait confier la rédaction de l'e-mail à un assistant d'intelligence artificielle, avec un message adapté au poste du destinataire.
Après l'intrusion, l'abonné conservait un accès complet à la boîte mail de la victime, avec un renouvellement automatique des jetons et des alertes par mots-clés reçues sur Telegram. Dans notre article de juillet consacré à EvilTokens, vous pouviez lire qu'un jeton d'actualisation volé est valable environ 90 jours. Les pirates utilisaient aussi l'IA de la plateforme pour repérer, au sein des comptes compromis, les salariés habilités à valider des paiements, puis fouiller leurs échanges à la recherche de virements et de factures en attente. « L'IA n'aidait pas simplement les attaquants à écrire des messages plus convaincants. Elle les aidait à décider qui cibler », a expliqué Steven Masada, conseiller juridique adjoint de la Digital Crimes Unit de Microsoft, cité par CyberScoop.
Tanmay Ganacharya est vice-président de la recherche en sécurité chez Microsoft. Il a indiqué à The Register que ses équipes observaient chaque jour entre 10 et 15 nouvelles campagnes depuis le 15 mars. Au total, plus de 12 000 boîtes mail ont été compromises dans plus de 10 000 organisations, en France, aux États-Unis, au Canada, au Royaume-Uni, en Australie et en Inde. Pour les opérateurs d'EvilTokens, l'affaire était rentable. Ils ont encaissé environ 1,1 million de dollars en cryptomonnaies grâce à plus de 1 000 dépôts venus de 700 adresses, d'après les données de Coinbase publiées par CyberScoop.
En août, Microsoft a transmis ses conclusions à la police métropolitaine de Londres. Le 18 septembre, les policiers ont perquisitionné deux adresses à Canary Wharf et à Nine Elms, où ils ont arrêté deux hommes de 32 et 38 ans, soupçonnés de fabrication d'articles destinés à la fraude et de blanchiment d'argent. Tous deux sont libres sous caution pendant la suite de l'enquête, et Microsoft n'a pas dévoilé leur identité. « La Met est déterminée à demander des comptes aux personnes qui facilitent des activités criminelles en pensant passer inaperçues. Nous vous trouverons et nous agirons », a prévenu Serena D'Adamo, inspectrice de la police métropolitaine. Un porte-parole de Microsoft a ajouté que d'autres personnes avaient probablement soutenu le service.
Trois jours avant ces arrestations, un tribunal fédéral