Microsoft detalha como o EvilTokens automatizou phishing por device code com apoio de IA
A Microsoft publicou uma analise tecnica de como a plataforma de phishing-as-a-service EvilTokens abusava do fluxo legitimo de autenticacao 'device code' do OAuth, enganando vitimas para autorizar sessoes de atacantes em portais oficiais como microsoft.com/devicelogin. A plataforma oferecia dezenas de temas de email e pagina gerados com apoio de IA, alem de um script que consultava a validacao do codigo a cada poucos segundos para capturar o token assim que a vitima autenticasse. Apos o roubo, a propria IA da plataforma analisava a caixa de entrada comprometida para identificar alvos de alto valor.
O fluxo de device code foi desenhado para dispositivos com tela ou teclado limitados: o usuario recebe um codigo curto no dispositivo e e instruido a digita-lo em um navegador separado para completar a autenticacao. O EvilTokens se insere nesse processo gerando seu proprio codigo de dispositivo e induzindo, via phishing, a vitima a valida-lo no portal legitimo da Microsoft -- ao fazer isso, a vitima autoriza sem saber a sessao do atacante, e nao a sua propria.
Tecnicamente, o script malicioso automatiza a captura: a cada tres a cinco segundos, ele consulta o endpoint /state do proprio atacante enviando o identificador de sessao, verificando se a vitima ja concluiu a autenticacao. Essa checagem continua durante os 15 minutos de validade do codigo garante que o token seja capturado quase no instante em que e emitido, sem necessidade de monitoramento manual pelo operador do ataque.
A IA aparece em duas fases distintas do ataque. Na fase de engano, a plataforma oferecia 44 temas diferentes de template de email e pagina, adaptados e personalizados com apoio de IA para o alvo especifico. Na fase pos-compromisso, um assistente de IA analisava a caixa de entrada roubada para localizar 'alvos de alto valor' -- especificamente pessoas em funcoes financeiras, executivas ou administrativas -- orientando os proximos passos da fraude.
O ponto pratico mais relevante e que phishing por device code contorna a percepcao usual de protecao por MFA: a vitima completa uma autenticacao real, em um dominio legitimo da Microsoft, o que faz a acao parecer normal tanto para o usuario quanto para muitos controles de deteccao baseados em anomalia de login. Times de seguranca que monitoram apenas o par senha+MFA tradicional podem nao identificar esse fluxo como um ataque, e a automatizacao via IA (geracao de templates, polling continuo, triagem pos-compromisso) reduz o esforco manual necessario para escalar essa tecnica a milhares de vitimas simultaneamente.