Microsoft et la police britannique démantèlent EvilToken, le service de phishing lié à 12 000 comptes piratés

La police londonienne a arrêté deux hommes de 32 et 38 ans, soupçonnés d'administrer EvilTokens, pendant que Microsoft saisissait 50 sites web liés à ce service d'hameçonnage par abonnement. Depuis février, ses clients ont compromis plus de 12 000 boîtes mail Microsoft 365 sans jamais voler de mot de passe.

Les pirates détournent une méthode de connexion prévue par Microsoft pour les téléviseurs connectés et les autres appareils sans clavier. L'utilisateur lit un code court sur l'écran de l'appareil, puis le saisit depuis un ordinateur ou un smartphone pour l'autoriser. Avec EvilTokens, l'attaquant génère ce code avant de l'envoyer à sa cible. En le saisissant sur la véritable page microsoft.com/devicelogin, la victime autorise la session du pirate, double authentification comprise, le tout à son insu.

Tanmay Ganacharya est vice-président de la recherche en sécurité chez Microsoft. Il a indiqué à The Register que ses équipes observaient chaque jour entre 10 et 15 nouvelles campagnes depuis le 15 mars. Au total, plus de 12 000 boîtes mail ont été compromises dans plus de 10 000 organisations, en France, aux États-Unis, au Canada, au Royaume-Uni, en Australie et en Inde. Pour les opérateurs d'EvilTokens, l'affaire était rentable. Ils ont encaissé environ 1,1 million de dollars en cryptomonnaies grâce à plus de 1 000 dépôts venus de 700 adresses, d'après les données de Coinbase publiées par CyberScoop.

Deux administrateurs présumés d'EvilTokens arrêtés à Londres En août, Microsoft a transmis ses conclusions à la police métropolitaine de Londres. Le 18 septembre, les policiers ont perquisitionné deux adresses à Canary Wharf et à Nine Elms, où ils ont arrêté deux hommes de 32 et 38 ans, soupçonnés de fabrication d'articles destinés à la fraude et de blanchiment d'argent. Tous deux sont libres sous caution pendant la suite de l'enquête, et Microsoft n'a pas dévoilé leur identité. « La Met est déterminée à demander des comptes aux personnes qui facilitent des activités criminelles en pensant passer inaperçues. Nous vous trouverons et nous agirons », a prévenu Serena D'Adamo, inspectrice de la police métropolitaine. Un porte-parole de Microsoft a ajouté que d'autres personnes avaient probablement soutenu le service.

Trois jours avant ces arrestations, un tribunal fédéral de Virginie avait autorisé Microsoft et Health-ISAC à saisir l'infrastructure du service. Cette organisation mutualise les alertes de cybersécurité des établissements de santé. Avec Cloudflare, Coinbase, OpenAI ou encore TRM Labs, les deux organisations ont mis hors ligne 50 sites web et désactivé plus de 150 domaines. Microsoft en est à sa 40e action de ce genre validée par un tribunal.

Dans les entreprises, Microsoft conseille de bloquer la connexion par code d'appareil au moyen des stratégies d'accès conditionnel d'Entra ID , sauf pour les rares équipements incompatibles avec une autre méthode. Quand un administrateur révoque les sessions d'un compte compromis, les jetons d'accès sont encore valides jusqu'à une heure, si bien que l'éditeur recommande de désactiver temporairement le compte. Au printemps, Push Security recensait d'ailleurs plus de dix kits concurrents.