Der EvilTokens-Takedown zeigt, warum Cyberkriminalitätsplattformen immer schwieriger zu stoppen sind

KI-Coding-Tools, Blockchain-Infrastruktur und niedrige Wiederbeschaffungskosten helfen Betreibern von Phishing-as-a-Service beim schnellen Wiederaufbau nach Störungen.

Die wichtigsten Erkenntnisse

• Microsoft brachte EvilTokens mit mehr als 12.000 kompromittierten Microsoft 365-Posteingängen in über 10.000 Organisationen in Verbindung.
• Die Plattform nutzte Gerätecode-Phishing, um legitime Authentifizierungs-Workflows zu missbrauchen und gängige Schutzmaßnahmen zu umgehen.
• KI-Programmiertools können Cyberkriminellen helfen, gestörte Infrastruktur schneller und kostengünstiger zu ersetzen.
• Takedowns bleiben wertvoll, doch eine dauerhafte Störung erfordert ein koordiniertes Vorgehen gegen das breitere kriminelle Ökosystem.

Die Unterbindung der Phishing-as-a-Service-Plattform EvilTokens durch Microsoft unterstreicht eine wachsende Herausforderung für Sicherheitsverantwortliche: Cybercrime-Infrastruktur lässt sich möglicherweise einfacher wieder aufbauen, als sie zu zerschlagen ist. KI-gestützte Entwicklung, kostengünstige Infrastruktur und zunehmend dezentrale Dienste ermöglichen es kriminellen Gruppen, sich schnell zu erholen, wenn einzelne Plattformen offline genommen werden.

Was war die Phishing-as-a-Service-Plattform EvilTokens?

Das jüngste Beispiel ist EvilTokens, eine Phishing-as-a-Service-Plattform (PhaaS), die von Microsoft abgeschaltet wurde. Die im Februar entdeckte Plattform stand mit mehr als 12.000 kompromittierten Microsoft 365-Postfächern in über 10.000 Organisationen weltweit in Verbindung, wobei die Opfer größenteils in den USA, Kanada, Großbritannien, Frankreich, Australien und Indien waren.

EvilTokens war eine Phishing-as-a-Service-Plattform, die hauptsächlich dazu genutzt wurde, Phishing-Angriffe mit Gerätecode durchzuführen. Diese Angriffe missbrauchen einen legitimen OAuth-Workflow, der für Geräte mit begrenzten Schnittstellen wie Smart TVs, Drucker und Konferenzsysteme entwickelt wurde. Nutzer erhalten einen kurzen Code und geben ihn in einem Browser auf einem separaten Gerät ein, um die Authentifizierung abzuschließen.

Da die Authentifizierung auf einem separaten Gerät abgeschlossen wird, ist die Sitzung, die die Anforderung initiiert, nicht stark an den ursprünglichen Kontext des Nutzers gebunden. Infolgedessen können Cyberkriminelle die Multifaktor-Authentifizierung (MFA) umgehen oder Social-Engineering-Techniken einsetzen, um die legitime Genehmigung des Device-Code-Flows als etwas anderes zu verschleiern.

Wie hilft KI Cyberkriminellen beim Wiederaufbau von Infrastruktur?

Das aufgetretene Problem besteht darin, dass Elemente der EvilTokens-Plattform anscheinend mithilfe von Coding-Tools mit künstlicher Intelligenz (KI) erstellt wurden, die es Cyberkriminellen – ganz ähnlich wie jedem Anwendungsentwickler – ermöglichen, sofort Code zu generieren. Aus diesem Grund ist es für Cyberkriminelle viel einfacher geworden, eine neue Plattform bereitzustellen, um eine möglicherweise abgeschaltete zu ersetzen.

Noch beunruhigender ist, dass Cyberkriminelle mittlerweile damit beginnen, Blockchain-Infrastrukturen zu nutzen, wodurch es wesentlich schwieriger wird, festzustellen, welche IT-Infrastruktur tatsächlich für die Durchführung eines Cyberangriffs genutzt wird. Das Endergebnis ist, dass es zwar schwieriger werden könnte, die IT-Infrastruktur zu entdecken, die Kosten für ihren Austausch im Falle einer Aufdeckung jedoch weiterhin deutlich sinken. Cyberkriminelle Syndikate lernen praktisch, wie sie widerstandsfähiger werden können.

Sind Takedowns von Cybercrime-Plattformen noch effektiv?

Die Zerschlagung der von Cyberkriminellen genutzten Infrastruktur sorgt immer noch für gutes Cybersecurity-Theater. Wie Bundesagenten während der Prohibitionszeit in den USA jedoch feststellen mussten, gab es für jedes entdeckte Lagerhaus 10 weitere, die für den Vertrieb einer Vielzahl von Alkoholsorten genutzt wurden. Die Zerstörung der Inhalte von Lagerhäusern konnte die Flut genauso wenig eindämmen wie die Abschaltung einer einzelnen Plattform, die zur Verbreitung von Malware genutzt wurde. Es wird eine weitaus umfassendere Anstrengung erforderlich sein, um diese spätere Geißel zu stoppen.

Hoffentlich wird es im KI-Zeitalter schon bald viel einfacher sein, mehrere Plattformen gleichzeitig vom Netz zu nehmen. In der Zwischenzeit dürften Syndikate von Cyberkriminellen jedoch im Vorteil sein, der Cybersecurity weiterhin zu einem Katz-und-Maus-Spiel macht, das im Moment extrem schwer endgültig zu gewinnen bleibt.