Microsoft et la police britannique démantèlent EvilToken, le service de phishing lié à 12 000 comptes piratés

Pour les équipes de Microsoft Threat Intelligence, Storm-2992 est le groupe à l'origine d'EvilTokens, sans lien connu avec les grands réseaux cybercriminels. Ses membres vendaient le kit 1 500 dollars sur leurs chaînes Telegram, puis 500 dollars par mois pour garder l'accès au panneau de contrôle, et facturaient à part plusieurs modules complémentaires, dont un outil de redirection antibot. Une fois connecté, l'abonné choisissait l'un des 44 thèmes de leurres proposés, de la fausse facture à l'appel d'offres, et pouvait confier la rédaction de l'e-mail à un assistant d'intelligence artificielle, avec un message adapté au poste du destinataire.

Après l'intrusion, l'abonné conservait un accès complet à la boîte mail de la victime, avec un renouvellement automatique des jetons et des alertes par mots-clés reçues sur Telegram. Dans notre article de juillet consacré à EvilTokens, vous pouviez lire qu'un jeton d'actualisation volé est valable environ 90 jours. Les pirates utilisaient aussi l'IA de la plateforme pour repérer, au sein des comptes compromis, les salariés habilités à valider des paiements, puis fouiller leurs échanges à la recherche de virements et de factures en attente. « L'IA n'aidait pas simplement les attaquants à écrire des messages plus convaincants. Elle les aidait à décider qui cibler », a expliqué Steven Masada, conseiller juridique adjoint de la Digital Crimes Unit de Microsoft, cité par CyberScoop.

Tanmay Ganacharya est vice-président de la recherche en sécurité chez Microsoft. Il a indiqué à The Register que ses équipes observaient chaque jour entre 10 et 15 nouvelles campagnes depuis le 15 mars. Au total, plus de 12 000 boîtes mail ont été compromises dans plus de 10 000 organisations, en France, aux États-Unis, au Canada, au Royaume-Uni, en Australie et en Inde. Pour les opérateurs d'EvilTokens, l'affaire était rentable. Ils ont encaissé environ 1,1 million de dollars en cryptomonnaies grâce à plus de 1 000 dépôts venus de 700 adresses, d'après les données de Coinbase publiées par CyberScoop.