Microsoft lukker AI-chatbot der solgte masseangreb
Abonnementet kostede 1.500 dollar plus 500 om måneden og ramte 10.000 firmaer verden over.
Abonnement kostede 1.500 dollar
EvilTokens blev lanceret i februar over en Telegram-kanal og kostede 1.500 dollar i startgebyr plus 500 dollar om måneden. Kunderne fik én samlet platform, der klarede næsten alle trin i at ramme mange e-mailkonti på én gang.
Microsoft stod i spidsen for nedlukningen sammen med partnere, herunder sikkerhedsfirmaet SpyCloud. Ifølge Microsoft nåede brugerne ind i 12.000 konti tilhørende 10.000 organisationer over et par måneder. Det er Microsofts egne tal med hjælp fra SpyCloud, ikke uafhængigt verificerede tal.
- Kompromitterede Microsoft-konti over et par måneder, ifølge Microsoft og SpyCloud
- 12.000 konti
- Organisationer med mindst en ramt konto, flest i USA
- 10.000 organisationer
- Startgebyr og efterfølgende abonnementspris for EvilTokens
- 1.500 dollar + 500 dollar/md.
Pinkoden var beregnet til fjernsyn
Ofrene klikkede på skadelige links i spam sendt gennem platformen. Linket åbnede en side med et skjult script, som i realtid hentede en kode hos Microsoft Entra, Microsofts identitetsudbyder, og tilmeldte en enhed tilhørende angriberen.
Teknikken er en legitim OAuth-proces, en såkaldt device code (enhedskode), beregnet til fjernsyn og andre enheder uden tastatur: enheden viser en kode, som brugeren skriver ind i en browser på en anden enhed. Her blev brugeren bedt om at indtaste den på Microsofts rigtige loginside.
Chatboten læste 5.000 mails ad gangen
I midten af tjenesten sad en AI-chatbot, som læste ofrets indbakke og fandt tillidsforhold, betalingsgodkendelser og følsomme opgaver – 5.000 stjålne mails ad gangen.
Den pegede på medarbejdere, der måtte overføre store beløb, deres ledere, og skrev de beskeder, der skulle få medarbejderen til at sende penge til en konto, angriberen kontrollerede. Et kontrolpanel lod kunderne tilpasse agnen til målfirmaets profil.
Microsoft kalder det et skifte: før måtte gerningsmænd manuelt gennemgå tusindvis af mails for at kortlægge organisationen. Nu klares det på minutter frem for dage.
50 hjemmesider og 150 domæner beslaglagt
Med juridiske skridt og et netværk af partnere beslaglagde Microsoft 50 hjemmesider og 150 domæner, som drev platformen. Londons Metropolitan Police anholdt to mænd i forbindelse med tjenesten.
Microsofts råd til firmaer: ud over stærke identitetskontroller skal man altid bekræfte ønsker om at ændre betalingsoplysninger, omdirigere penge eller godkende uvanlige transaktioner gennem en betroet anden kanal.
Flere detaljer
- Flest ofre i USA; dernæst Canada, Storbritannien, Australien, Indien og Frankrig.
- Ramte brancher: engros, byggeri, finansydelser, ejendom, videregående uddannelser og sundhedsvæsen.
- Baglogikken kørte på Node.js og gik uden om signatur- og mønsterbaseret detektion.
- SpyCloud, sikkerhedsfirma, deltog i nedlukningsoperationen og kortlagde ofrene.
Kilder:
Ars Technica AI →
Genfortalt i egne ord af AI-nyheder.com · Tjek altid originalkilden, før du handler på vigtige oplysninger.