Le démantèlement d'EvilTokens montre pourquoi les plateformes de cybercriminalité sont de plus en plus difficiles à arrêter

Les outils de codage d’IA, l’infrastructure blockchain et les faibles coûts de remplacement aident les acteurs utilisant l’hameçonnage en tant que service à remettre sur pied leurs opérations plus rapidement après une perturbation.

Ce qu’il faut retenir

• Microsoft a associé EvilTokens à plus de 12 000 boîtes de réception Microsoft 365 compromises dans plus de 10 000 organisations.
• La plateforme a utilisé l’hameçonnage par code d’appareil pour détourner des flux d’authentification légitimes et contourner les protections courantes.
• Les outils de codage d’IA peuvent aider les cybercriminels à remplacer les infrastructures perturbées plus vite et à moindre coût.
• Les démantèlements restent précieux, mais une perturbation durable exige une action coordonnée contre l’écosystème criminel au sens large.

Le démantèlement par Microsoft de la plateforme d’hameçonnage en tant que service (PhaaS) EvilTokens met en lumière un défi croissant pour les défenseurs : l’infrastructure cybercriminelle est peut-être plus facile à reconstruire qu’à démanteler. Grâce au développement assisté par l’IA, à une infrastructure peu coûteuse et à des services de plus en plus décentralisés, les groupes criminels peuvent récupérer rapidement lorsque des plateformes individuelles sont mises hors service.

Qu’était la plateforme d’hameçonnage en tant que service EvilTokens ?

Le dernier exemple en date est EvilTokens, une plateforme d’hameçonnage en tant que service (PhaaS) démantelée par Microsoft. Découverte en février, la plateforme a été liée à plus de 12 000 boîtes de réception Microsoft 365 compromises au sein de plus de 10 000 organisations à travers le monde, avec des victimes concentrées aux États-Unis, au Canada, au Royaume-Uni, en France, en Australie et en Inde.

EvilTokens était une plateforme d’hameçonnage en tant que service principalement utilisée pour lancer des attaques basées sur l’hameçonnage par code d’appareil. Ces attaques détournent un workflow OAuth légitime, conçu pour les appareils disposant d’interfaces limitées : téléviseurs connectés, imprimantes, systèmes de conférence, etc. Les utilisateurs reçoivent un code court et le saisissent dans un navigateur sur un appareil distinct pour finaliser l’authentification.

Comme l’authentification est effectuée sur un appareil différent, la session initiant la requête n’est pas étroitement liée au contexte d’origine de l’utilisateur. Par conséquent, les cybercriminels peuvent contourner l’authentification multifacteur (MFA), ou employer des techniques de social engineering afin de faire passer l’approbation légitime du flux de code d’appareil pour autre chose.

Comment l’IA aide-t-elle les cybercriminels à reconstruire leur infrastructure ?

Un nouveau problème est apparu : il semblerait que des éléments de la plateforme EvilTokens aient été conçus à l’aide d’outils de codage basés sur l’intelligence artificielle (IA) qui permettent aux cybercriminels, tout comme à n’importe quel autre développeur d’applications, de générer instantanément du code. Par conséquent, il est devenu plus facile pour les cybercriminels de déployer une autre plateforme en remplacement de celle qui a pu être démantelée.

Plus inquiétant encore, les cybercriminels commencent à utiliser une infrastructure blockchain qui rend beaucoup plus difficile l’identification de l’infrastructure informatique réellement utilisée pour lancer une cyberattaque. Au final, la découverte de l’infrastructure informatique utilisée pourrait devenir plus complexe, et le coût de son remplacement en cas de détection continue de diminuer substantiellement. En fait, les organisations cybercriminelles apprennent à devenir plus résilientes.

Les démantèlements de plateformes cybercriminelles sont-ils toujours efficaces ?

Le démantèlement d’une infrastructure cybercriminelle constitue toujours un épisode dramatique du meilleur effet pour les acteurs de la cybersécurité. Toutefois, comme les agents fédéraux purent le constater à l’époque de la Prohibition aux États-Unis, pour chaque entrepôt illicite découvert, il en existait dix autres servant à distribuer toutes sortes d’alcools. La destruction du contenu d’un entrepôt ne pouvait guère endiguer le phénomène, pas plus qu’aujourd’hui, le démantèlement d’une seule plateforme utilisée pour la diffusion de malwares ne peut mettre un terme à la cybercriminalité. Des efforts bien plus concertés seront nécessaires pour enrayer ce fléau moderne.

Espérons qu’un jour prochain, à l’ère de l’IA, il deviendra beaucoup plus simple de neutraliser plusieurs plateformes à la fois. En attendant, cependant, les groupes cybercriminels risquent de disposer d’un avantage qui continuera de faire de la cybersécurité un jeu de tape-taupe qu’il reste, pour l’instant, extrêmement difficile de remporter définitivement une bonne fois pour toutes.