Device-Code-Phishing

บริษัท Huntress เปิดเผยแคมเปญ token spraying ที่ขโมยโทเคนล็อกอิน Microsoft 365 ผ่านหน้า AitM แล้วใช้ซ้ำ ยึดได้ 97 บัญชีใน 79 องค์กร ช่วง ก.ค.-ก.ย. 2569 โทเคนออกหลังผ่าน MFA แล้ว ผู้ถือจึงเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือยืนยันซ้ำ หลังเข้าได้ ผู้โจมตีลงแอปยืนยันตัวตนของตน ลงทะเบียนอุปกรณ์ Entra ปลอม 48 เครื่อง และตั้ง inbox rule ซ่อนอีเมลเรื่องเงินเดือน ของเหล่านี้ไม่หายเมื่อรีเซ็ตรหัสผ่าน ควรเพิกถอนเซสชัน ลบอุปกรณ์และ MFA แปลกปลอม และตั้ง Conditional Access ครอบคลุมผู้ใช้และแอปทั้งหมด

ผู้อยู่เบื้องหลังแคมเปญ GhostAction ขยายจากการฝังเวิร์กโฟลว์อันตรายใน GitHub Actions มาฟิชชิงผู้ดูแลโอเพนซอร์สผ่านโดเมน my-github[.]com หน้าล็อกอินปลอมทำงานเป็น reverse proxy ขโมยรหัสผ่านและรหัส 2FA แล้วอนุมัติ OAuth device flow ให้เองโดยเหยื่อไม่ต้องกดยืนยัน ผู้โจมตียังวาง stealer ในไฟล์ฟอนต์ปลอมที่ VS Code รันอัตโนมัติเมื่อเปิดโฟลเดอร์ พบแล้วใน 94 repo ของ 66 เจ้าของ ขั้นนี้มาถึงหกวันหลัง GitHub เริ่มบล็อกเวิร์กโฟลว์เดิม

บริษัท Microsoft ทลายบริการฟิชชิงแบบ device code ชื่อ EvilTokens ที่ใช้ AI ทุกขั้นตอนของการโจมตี ติดตามกลุ่มผู้พัฒนาในชื่อ Storm-2992 พร้อมตำรวจอังกฤษจับผู้ต้องสงสัย 2 ราย บริการนี้ขายแบบ PhaaS บน Telegram อาศัยช่องทาง OAuth device authorization ยึดบัญชีอีเมลโดยไม่ต้องรู้รหัสผ่าน มีแชตบอต AI ช่วยวิเคราะห์กล่องจดหมายและร่างอีเมล BEC โยงกล่องจดหมายถูกยึดกว่า 12,000 บัญชีใน 10,000 องค์กรทั่วโลก