Microsoft 披露，自 2026 年 2 月出现以来，钓鱼即服务平台 EvilTokens 已成为使用最广泛的钓鱼平台之一。该平台为攻击者提供现成模板、自动化运营基础设施以及用于定制消息和分析被攻破邮箱的人工智能能力。据该公司称，与该平台相关的攻击活动已在全球超过 10,000 个组织中攻破 12,000 多个邮箱。
Microsoft 表示，其数字犯罪部门（DCU）与合作伙伴合作，协调开展了一项行动，以切断用于运行 EvilTokens 的基础设施和运营。Microsoft Threat Intelligence 将该平台的开发和支持方追踪为 Storm-2992。
EvilTokens 如何利用设备代码？
该平台主要依赖滥用设备代码身份验证流程。这是一种合法的 OAuth 流程，专为界面受限的设备设计，例如智能电视、打印机、Teams 设备和会议系统。该流程会显示一个短代码，用户在另一台设备的浏览器中输入该代码即可完成登录。
在钓鱼场景中，攻击者会代替合法设备发起身份验证请求，然后通过欺骗性消息向用户显示代码。当用户在 Microsoft 官方门户中输入代码时，便会在不暴露密码的情况下授予攻击者会话授权。如果用户此前已经登录，可能只需输入代码并确认请求即可完成身份验证。
获得令牌后，攻击者可以访问邮箱、创建隐藏邮件的收件箱规则、添加新设备以维持访问权限，还可以利用 Microsoft Graph 绘制组织结构和权限图。在某些情况下，记录显示新设备会在攻破后的十分钟内创建，而提取邮件或创建恶意规则的操作则会延迟数小时，以降低被发现的机会。
自动化钓鱼与商业欺诈平台
Storm-2992 通过 Telegram 销售 EvilTokens，初次购买费用为 1,500 美元，持续使用软件包和控制面板的月费为 500 美元，部分工具还需额外付费。该面板允许选择部署方式、模板、页面语言、代码显示方式、CAPTCHA 和人工智能模式，并追踪受害者及被盗令牌。
该平台包含 44 种伪装消息和页面主题，内容涵盖发票、报价请求、文件共享、文档签署服务以及密码过期通知。攻击者还使用智能助手撰写与受害者职务相匹配的消息，随后扫描邮箱，寻找财务、执行和行政岗位的用户，以及银行转账、发票和高管通信等数据。
为绕过邮件网关和扫描工具，攻击活动采用图片链接、多阶段重定向、HTML 和 PDF 附件，以及 Vercel、Cloudflare Workers 和 AWS Lambda 等合法云服务与基础设施。在 Microsoft 于 2026 年 4 月发现的一次攻击活动中，攻击者创建了数千个短生命周期的轮询节点，用于运行动态后端逻辑，并绕过基于签名的检测。
防御团队需要关注什么？
Microsoft 建议在可能的情况下阻止设备代码流程，或在 Conditional Access 策略中将其限制为确实需要该流程的账户和设备。该公司还建议使用 FIDO 密钥或通过 Microsoft Authenticator 使用通行密钥等抗钓鱼身份验证方法，启用反钓鱼和 Safe Links 策略，并监控可疑邮箱规则的创建以及高风险登录。
如果怀疑令牌被盗，该公司表示应禁用设备并撤销刷新令牌和会话，同时注意到仅撤销刷新令牌可能会使当前访问令牌继续有效长达一小时。因此，为了立即遏制威胁，可能有必要暂时禁用账户，尽管这可能产生运营影响。
为什么这条新闻很重要？
EvilTokens 的重要性不在于其采用了全新的钓鱼技术，而在于它将对现有流程的滥用转化为一种可扩展的商业服务，将人工智能定制、自动化、令牌窃取以及入侵后的横向活动结合起来。这表明，启用多重身份验证并不能消除基于授权的钓鱼风险，因为攻击者可以直接针对身份验证会话。文中所述建议仍与 Microsoft Entra 和 Defender 环境相关，而切断行动也并不自动意味着所有攻击活动或类似基础设施都会消失。