Microsoft hat eine branchenweite Aktion zur Zerschlagung einer abonnementbasierten Betrugsplattform namens EvilTokens angeführt. Die Plattform nutzte einen KI-Chatbot, um innerhalb weniger Monate 12.000 Microsoft-Konten zu kompromittieren. EvilTokens wurde im Februar über einen Telegram-Kanal eingeführt und verlangte eine anfängliche Gebühr von 1.500 US-Dollar sowie eine monatliche Gebühr von 500 US-Dollar.
Funktionsweise von EvilTokens
EvilTokens bot eine umfassende Plattform, die darauf ausgelegt war, die meisten Schritte zur Massenkompromittierung von E-Mail-Konten zu rationalisieren. Nach dem Zugriff auf Konten half die Plattform ihren Nutzern, Postfächer zu analysieren, Ziele mit dem größten potenziellen Gewinn auszuwählen und Folge-E-Mails zu entwerfen. Diese E-Mails enthielten realistische Vorwände, um Mitarbeiter von Unternehmen dazu zu bringen, Gelder auf von Angreifern kontrollierte Konten zu überweisen.
Im Zentrum des Dienstes stand ein KI-ähnlicher Chatbot, der Postfächer von Opfern analysieren konnte. Dieser Chatbot identifizierte vertrauenswürdige Beziehungen, Zahlungsautorisierungen und sensible Verantwortlichkeiten sowie andere Umstände, unter denen Betrug am wahrscheinlichsten erfolgreich war. Die Plattform war sogar in der Lage, Betrugsstrategien zu empfehlen und Nachrichten zu entwerfen, die vertrauenswürdige Kontakte imitierten, um Opfer zu Handlungen zu verleiten.
Umfang und Opfer der Angriffe
Nutzer von EvilTokens kompromittierten 12.000 Kundenkonten, die zu 10.000 Organisationen weltweit gehörten. Die höchste Konzentration der Opfer befand sich in den USA. Weitere betroffene Länder waren Kanada, Großbritannien, Australien, Indien und Frankreich. Zu den Opferorganisationen zählten Unternehmen aus dem Großhandel, dem Baugewerbe, Finanzdienstleistern, Immobilienfirmen, Hochschulen und Einrichtungen des Gesundheitswesens.
Technische Details der Kompromittierung
Die Kontokompromittierungen wurden durch einen legitimen OAuth-Prozess namens Gerätecode-Authentifizierung (Device Code Authentication) erreicht. Diese Authentifizierungsform ist für Geräte mit eingeschränkter Eingabemöglichkeit konzipiert, wie beispielsweise Smart-TVs, die keine vollständigen Anmeldeverfahren ermöglichen. Dabei präsentiert das anzumeldende Gerät einen Code und fordert den Benutzer auf, diesen in einem Browser auf einem separaten Gerät einzugeben, um die Authentifizierung abzuschließen.
EvilTokens automatisierte den Versand großer Mengen von Spam. Benutzer, die auf bösartige Links oder Anhänge in diesen E-Mails klickten, wurden auf eine Webseite umgeleitet. Dort führte ein verstecktes Automatisierungsskript in Echtzeit eine Interaktion mit dem Microsoft Identity Provider des Benutzers (von SpyCloud als Microsoft Entra identifiziert) durch, um einen Code für die Registrierung eines Angreifer-Geräts zu generieren. Anschließend sahen die Benutzer den Gerätecode und die Anweisung, diesen in das offizielle Microsoft-Geräteanmeldeportal einzugeben. Eine komplexe Backend-Logik (Node.js) der Plattform ermöglichte es, traditionelle signatur- oder musterbasierte Erkennungen zu umgehen. Diese Technik ermöglichte einen End-to-End-Prozess, von der Generierung dynamischer Gerätecodes bis hin zu Aktivitäten nach der Kompromittierung.
Ein Dashboard ermöglichte es den Nutzern, ihre Köder auf die Profile der Zielorganisationen zuzuschneiden. Die Plattform automatisierte auch den Großteil des restlichen Angriffsprozesses. EvilTokens analysierte bis zu 5.000 kompromittierte E-Mails gleichzeitig. Mithilfe von KI identifizierte die Plattform Mitarbeiter, die autorisiert waren, große Geldsummen auszuzahlen, deren Vorgesetzte und überzeugende Szenarien, unter denen Vorgesetzte oder andere die Mitarbeiter zur Überweisung von Geldern auf Angreifer-Konten überreden konnten.
Auswirkungen und Empfehlungen
Microsoft hat die Aktion in Zusammenarbeit mit Partnern durchgeführt und dabei 50 Websites und 150 weitere Domains beschlagnahmt, die für den Betrieb von EvilTokens genutzt wurden. Die Metropolitan Police Service in Großbritannien verhaftete zwei Männer unter dem Verdacht von Straftaten, die im Zusammenhang mit der Betrugsplattform stehen sollen.
Microsoft betont, dass EvilTokens einen bedeutenden Wandel in der Massenkompromittierung und den nachfolgenden Aktivitäten darstellt. Normalerweise benötigten Angreifer viel Zeit, um Tausende von E-Mails zu sichten und Organisationsstrukturen, Lieferanten, Kunden und Beziehungen zu Dritten zu rekonstruieren. Diese Belastung wird durch KI-gestützte Tools erheblich reduziert.
Für Organisationen bedeutet dies, dass sie davon ausgehen müssen, dass Kriminelle den Inhalt eines Postfachs nach einer Kompromittierung innerhalb von Minuten, nicht Tagen, verstehen können. Starke Identitätsschutzmaßnahmen und Überwachung bleiben unerlässlich. Organisationen sollten jedoch auch Anfragen zur Änderung von Zahlungsinformationen, zur Umleitung von Geldern oder zur Genehmigung ungewöhnlicher Transaktionen über einen vertrauenswürdigen zweiten Kanal unabhängig überprüfen.
Thema: Microsoft. Quelle/Inspiration: Ars Technica.