EvilTokens PhaaS, Microsoft 계정 12,000개 침해 후 운영 중단

Microsoft 계정 12,000개 이상, 10,000개 이상의 조직을 침해한 EvilTokens 플랫폼이 Microsoft 디지털 범죄 수사팀(DCU)이 주도한 활동으로 운영이 중단되었습니다.

이 피싱 대행 서비스(PhaaS) 작전은 2월에 등장했으며, 디바이스 코드 인증을 대규모로 지원하고 사이버 범죄자에게 피싱 미끼를 맞춤 제작하거나 침해된 받은편지함에서 고가치 표적을 선별하는 AI 기반 기능을 제공한 첫 번째 서비스입니다.

Microsoft는 오늘 발표를 통해 Health-ISAC, 법집행기관, 텍사스 오스틴에 본사를 둔 신원 위협 보호 기업 SpyCloud와 협력해 EvilTokens 인프라에 대한 제거 조치를 조율했다고 밝혔습니다.

수사 결과 EvilTokens 웹사이트의 운영자로 의심되는 32세와 38세 남성 2명이 영국에서 체포되었습니다.

런던 수도경찰청(Metropolitan Police Service)은 8월에 용의자 관련 정보를 접수하고 금요일에 Canary Wharf와 Nine Elms 주소에서 영장을 집행했습니다. 두 용의자 모두 추가 수사가 진행되는 동안 보석으로 석방되었습니다.

수도경찰청의 Serena D'Adamo 수사관은 BleepingComputer에 "수도경찰청은 범죄 조장 활동을 수행하며 발각되지 않을 수 있다고 생각하는 자들을 책임지도록 하는 데 전념하고 있습니다. 우리는 반드시 찾아내 조치를 취할 것입니다"라고 밝혔습니다.

Microsoft는 EvilTokens 위협 행위자를 Storm-2992로 추적하며, 해당 PhaaS 플랫폼을 이용한 캠페인이 도매 유통, 건설, 금융 서비스, 부동산, 고등 교육, 의료 분야 조직에 영향을 미쳤다고 밝혔습니다.

연구원들에 따르면 이 사이버 범죄 서비스는 디바이스 코드 피싱을 전문으로 하는데, 이는 MFA 보호에도 불구하고 인증 토큰을 탈취하기 위해 디바이스 코드 인증 흐름을 악용하는 기법으로, 공격자가 자격 증명 도용 없이 계정을 침해할 수 있게 합니다.

이로 인해 올해 들어 다수의 위협 행위자가 이 방식을 채택하면서 디바이스 코드 피싱이 급증했습니다. 4월까지 이 기능을 지원하는 피싱 플랫폼이 최소 10개에 달했습니다.

Microsoft는 오늘 발표한 보고서에서 EvilTokens가 전 세계 10,000개 이상의 조직에 걸쳐 12,000개 이상의 받은편지함을 침해하며 "고도화된 BEC(기업 이메일 침해) 캠페인"을 촉진했다고 밝혔습니다.

SpyCloud가 재수집한 피싱 데이터에 따르면 79개국 6,585개의 기업 이메일 도메인에서 8,708개 이상의 계정이 침해된 것으로 나타났습니다.

EvilTokens는 스마트 TV, 프린터, 회의 장비, 일부 Teams 기기 등 입력 기능이 제한된 기기를 위해 설계된 Microsoft의 합법적인 OAuth 2.0 디바이스 인증 흐름을 악용합니다.

생성된 코드

출처: Microsoft

디바이스 코드 피싱 공격은 공격자가 디바이스 코드 요청을 시작하고, 수신한 코드를 피싱 미끼의 일부로 대상에게 전송하면서 시작됩니다.

피해자는 해당 코드와 Microsoft의 실제 로그인 포털로 연결되는 버튼이 표시된 페이지로 유도되어 인증하도록 요청받습니다.

Storm-2992는 Telegram을 통해 EvilTokens를 홍보하고 지원하며, 월 500달러 또는 1,500달러의 일회성 요금으로 서비스 이용권을 제공했습니다.

Telegram의 EvilTokens 홍보 게시물

출처: Microsoft

안티봇 리다이렉터, B2B 및 SMTP 발송 도구, Office 365 캡처 링크 도구 등 부가 기능은 별도로 판매되었으며, 서비스는 44개의 맞춤형 피싱 키트를 제공합니다.

피싱 미끼는 전자 서명 플랫폼, Microsoft 서비스, 클라우드 ID 및 파일 공유 제공업체, 인보이스 시스템, 음성 메일, eFax 서비스를 사칭했습니다.

피싱 이메일의 제목은 건설 입찰, 파트너십 계약, 보상 및 복리후생 공지부터 제안서 요청, 공유 파일, 인보이스, 비밀번호 만료 경고까지 다양했습니다.

플랫폼 대시보드

출처: Microsoft

계정에 대한 접근 권한을 획득한 후 EvilTokens는 Microsoft Graph를 사용해 조직 관계를 파악하고, AI 기반 도구를 활용해 메일함 콘텐츠를 분석하여 침해된 환경 내의 고가치 표적을 식별합니다.

이 플랫폼은 전신 송금 정보, 미결제 인보이스, 임원 서신을 검색한 다음 맥락에 맞는 BEC 메시지를 생성할 수 있습니다.

탐지를 피하기 위해 EvilTokens는 자동화된 분석을 방해하는 다단계 리다이렉트, PDF, HTML 첨부 파일, 가짜 CAPTCHA 페이지를 사용하는 한편, 침해된 사이트와 Vercel, Cloudflare Workers, AWS Lambda 같은 합법적인 클라우드 플랫폼을 통해 트래픽을 라우팅합니다.

SpyCloud의 데이터셋에 따르면 EvilTokens는 기업을 집중 표적으로 삼았으며, 침해된 계정의 약 97.5%가 기업 도메인에 속했습니다.

가장 많이 표적이 된 국가는 미국이며, 캐나다, 호주, 영국, 사우디아라비아가 그 뒤를 잇습니다.

피해자 지도

출처: SpyCloud

Microsoft와 파트너들은 피싱 서비스와 관련된 활성 인프라를 압수할 법적 권한을 취득함으로써 EvilTokens를 중단시켰습니다. 그러나 이는 완전한 서비스 차단 작전이 아니었으며 위협은 여전히 활성화되어 있지만 공격 규모는 눈에 띄게 줄어들 것으로 예상됩니다.

EvilTokens는 유일한 디바이스 코드 피싱 플랫폼과는 거리가 멀며, 이미 제휴사들이 APToken과 같은 "복제판"을 만들어냈습니다.

이러한 공격에 대응하기 위해 조직은 디바이스 코드 인증이 필요하지 않은 경우 비활성화하고 가능한 곳에서는 디바이스 코드 흐름을 차단해야 합니다.

사용자도 인증하는 애플리케이션을 확인하고, 예상치 못한 앱에 로그인하게 되는 경우 진행하지 않아야 합니다.

완화 및 보호 지침에는 의심스러운 로그인 활동 모니터링과 FIDO2 보안 키 또는 패스키 같은 피싱 저항성 인증 방법 사용도 포함됩니다.

AI 기반 공격에 대한 보안 청사진 구축

Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들과 함께하는 2시간짜리 디지털 서밋에서 AI 속도 공격의 변화, 방어자가 중단해야 할 것, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 알아보세요.

자리를 예약하세요