Набор ARTokens 5.1.2 предназначен для фишинга кодов устройств Microsoft 365
ARTokens 5.1.2, набор инструментов для фишинга с использованием кода устройства Microsoft 365, связан с семейством вредоносного ПО EvilTokens. В двух пресечённых кампаниях злоумышленники использовали одинаковую цепочку доставки: поддельные письма с запросами на рассмотрение коммерческого предложения (RFP) или счетами-фактурами вели на скомпрометированный арендатор SharePoint. Там размещался файл .URL со ссылкой на страницу Google Sites, которая перенаправляла пользователей на фишинговую приманку на Cloudflare Workers. Использование доверенных облачных сервисов, вероятно, помогало обходить фильтрацию URL по репутации.
Приманка и опрос кода устройства
Приманка отображала код устройства и побуждала жертву продолжить аутентификацию в Microsoft. При продолжении процесса страница запускала опрос кода в фоновом режиме. В изученных кампаниях запросы поступали на панель ARTokens, размещённую на support.mayco-build.com. В её сборке обнаружили идентификатор 5.1.2-prod, которого не было в ранее наблюдавшихся вариантах.
Фишинговая страница содержала зашифрованный с помощью XOR JavaScript с 16-байтным ключом. Расшифрованный скрипт проверял, не работает ли посетитель через бота или песочницу, выявлял Selenium, PhantomJS и Playwright, а также отслеживал несоответствия характеристик браузера, размеры окна и ввод с сенсорного экрана. В коде также присутствовали отслеживание движений мыши и нажатий клавиш, заданный в коде URL панели, перенаправление после аутентификации и настраиваемые пути для опроса.
Вместо фиксированных конечных точек /api/device/start и /api/device/poll в более новых развёртываниях могут применяться псевдонимы, которые генерирует оператор, например /s/gc7mh. Это снижает надёжность обнаружения по статическим конечным точкам. Запрос на опрос содержал код устройства и IP-адрес жертвы.
Функции панели ARTokens
Панель поддерживает стандартный перехват токенов Microsoft Office и рабочий процесс Authentication Broker, связанный с закреплением первичного токена обновления. Среди дополнительных возможностей перечислены мониторинг почтовых ящиков, управление вредоносными правилами для входящих сообщений, операции с SharePoint и кража данных, администрирование Entra ID и уведомления через Telegram.
В набор также входит ARTBrowser, автономный клиент для Windows, предназначенный для использования скомпрометированных токенов Microsoft 365. Операторы могут развёртывать логику опроса через Cloudflare Workers. В таком случае URL панели скрывается в бэкенде, а раскрытие инфраструктуры уменьшается.
В качестве индикаторов компрометации исследователи выявили пять IP-адресов панели и девять доменных имён.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
