Microsoft ha anunciado el desmantelamiento de un servicio que, según la firma de Redmond, se servía de IA «en cada paso de la cadena de ataque». Se trata de EvilTokens, una herramienta de phishing de códigos de dispositivos.
Las estadísticas de la multinacional tecnológica muestran que este artefacto malicioso se habría vinculado a más de 12.000 buzones de correo electrónico comprometidos en más de 10.000 organizaciones de todo el mundo, lo que da una medida de su popularidad entre los cibermalos.
Microsoft ha descrito a EvilTokens como «una potente plataforma de ciberdelincuencia» que usaba inteligencia artificial para comprometer cuentas de email y diseñar estrategias para cometer estafas financieros.
«Si bien EvilTokens ayudaba a los ciberdelincuentes a acceder a cuentas de correo electrónico, el núcleo del servicio era un chatbot con inteligencia artificial que podía analizar la bandeja de entrada de la víctima y ayudar a los delincuentes a identificar relaciones de confianza, autorizaciones de pago y responsabilidades confidenciales, así como otras circunstancias en las que era más probable que el fraude tuviera éxito», ha comentado Steven Masada, asesor jurídico adjunto y director general de la Unidad de Delitos Digitales de Microsoft.
«La plataforma incluso podría recomendar estrategias de fraude, como redactar mensajes que suplantaran la identidad de contactos de confianza para ayudar a los delincuentes a engañar a las víctimas y conseguir que actúen», ha concluido el responsable.
En paralelo, el pasado 11 de septiembre se detuvo a dos hombres de 32 y 38 años en relación con esta operación.
EvilTokens fue documentado por primera vez por la firma de ciberseguridad especializada en detección de amenazas Huntress en marzo como una plataforma de phising como servicio (PhaaS) que abusaba del flujo de autorización de dispositivos 0Auth 2.0. con el fin de proporcionar a los atacantes sesiones autenticadas con las cuentas de las víctimas sin tener que proporcionar ningún credencial.
Otro informe de Sekoia lo describía como una solución integral vendida bajo un modelo PhaaS en Telegram desde mediados de febrero que ofrecía a los clientes una gran cantidad de plantillas autoalojadas y funciones impulsadas por IA para automatizar los flujos de trabajo de BEC (Business Email Compromise).
Cómo funcionaba
Los tokens robados se usaban de forma indebida para la exfiltración y el acceso persistente a correos electrónicos, a menudo mediante la configuración de reglas maliciosas en la bandeja de entrada que ocultan las comunicaciones.
Asimismo, los tokens también facilitaban en ocasiones acceso a nuevos dispositivos, ofreciendo a los actores de amenazas una vía alternativa para mantener la persistencia a largo plazo.
«EvilTokens combinaba el compromiso de cuentas, el análisis de buzones de correo, la selección de objetivos y la preparación para el fraude en un único servicio», han destacado desde Microsoft. «Funcionalidades que antes requerían experiencia en ataques de identidad, sistemas en la nube, ingeniería social y fraude financiero ahora estaban disponibles a través de una interfaz lista para usar».
La herramienta se materializaba mediante tres productos diferentes, con precios que oscilaban entre los 600 y los 1.500 dólares.
Los ataques que usaban EvilTokens giraban en torno al envío de emails que usaban 44 temas distintos, incluyendo facturas y solicitudes de propuestas (RFP), o archivos compartidos. Estos mensajes contienen URL maliciosas, archivos PDF adjuntos y archivos HTML para activar la cadena de infección, según recoge The Hacker News.
La intervención de la compañía de las ventanas ha sido autorizada por el Tribunal de Distrito de EE.UU. para el Distrito Este de Virginia y ha contado con la participación de Health-ISAC, junto con Cloudflare , Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs.
Acerca del autor
