За $1 500 начального взноса и $500 ежемесячной подписки оператор получал готовый конвейер: 44 шаблона фишинговых приманок, панель управления с 80 API-эндпоинтами, семислойную систему обхода песочниц, ИИ-модуль, который скорит скомпрометированные ящики по финансовому риску и генерит для каждого по три сценария мошеннического перевода, и встроенный инструмент для отправки письма от лица жертвы. Ни одного пароля платформа не крала – это было не нужно. Вместо паролей EvilTokens забирала OAuth-токены через device code authentication – штатный поток Microsoft для телевизоров и принтеров, в котором жертва сама вводит свои учётные данные и второй фактор на настоящей странице Microsoft, а платформа получает токен доступа к её почте. А при эскалации к Primary Refresh Token – устойчивый доступ, который переживает даже смену пароля.
С февраля по сентябрь 2026 года через EvilTokens прошли более 12 000 почтовых ящиков в 10 000 организаций по 79 странам. Microsoft отслеживает группу как Storm-2992. 22 сентября Digital Crimes Unit при санкции суда Восточного округа Вирджинии ликвидировал инфраструктуру – 50 сайтов изъяты, более 150 доменов отключены, – а 11 сентября Metropolitan Police арестовала в Лондоне двух операторов 32 и 38 лет. Отслеженная выручка – $1.1 миллиона на четырёх Tron-адресах.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local