Eviltokens

บริษัท Island เปิดเผยชุดเครื่องมือฟิชชิงแบบ AitM ชื่อ NovaCookies ที่ขายแบบสมาชิกรายเดือนราคา 320 ดอลลาร์ และถูกใช้เล็งเป้าองค์กรหลายร้อยแห่งใน 6 ประเทศ จุดเด่นคือใช้ซองเอกสาร Docusign ของจริงส่งเหยื่อล่อ ทำให้ผ่านการตรวจสอบผู้ส่งและชื่อเสียงโดเมนไปได้ ก่อนเด้งผ่านหน้าล็อกอินของไมโครซอฟท์หรือกูเกิลแล้วจึงถึงเซิร์ฟเวอร์ของผู้โจมตี ซึ่งทำหน้าที่เป็นพร็อกซีดักเซสชันที่ผ่าน MFA แล้วแบบเรียลไทม์

Cyber Security News รายงานชุดเครื่องมือฟิชชิง EvilTokens ที่เจาะการยืนยันตัวตนแบบ Microsoft Device Code และซ่อนหน้าฟิชชิงไว้ในเบราว์เซอร์ หน้าฟิชชิงถูกเข้ารหัส AES-GCM ในการตอบกลับ HTML ครั้งแรก แล้วถอดรหัสด้วย JavaScript ฝั่งเบราว์เซอร์ก่อนแสดงใน DOM ทำให้การวิเคราะห์ URL แบบ static มองไม่เห็นเนื้อหาจริง สร้างจุดบอดให้นักวิเคราะห์ SOC และทำให้การยืนยัน account takeover ล่าช้า