#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ARTokens 5.1.2 представляет собой набор инструментов для фишинга с использованием кода устройства Microsoft 365, происходящий из линейки EvilTokens. В ходе кампаний использовались поддельные электронные письма с запросами предложений (RFP) или счетами, скомпрометированные ресурсы SharePoint, Google Sites и Cloudflare Workers для доставки приманок в стиле Microsoft, предназначенных для перехвата токенов аутентификации. Его зашифрованный JavaScript позволял уклоняться от анализа, в то время как бэкенд поддерживал кражу токена, доступ к почтовым ящикам и SharePoint, администрирование Entra ID и сценарии закрепления.
-----

ARTokens 5.1.2 представляет собой набор инструментов для фишинга с использованием кода устройства Microsoft 365, связанный с семейством вредоносного ПО EvilTokens. В двух пресеченных кампаниях использовалась одна и та же цепочка доставки: поддельные электронные письма, имитирующие запросы на рассмотрение коммерческого предложения (RFP) или счета-фактуры, направляли жертв на скомпрометированный арендатор SharePoint. На этом арендаторе размещался файл `.URL`, содержащий ссылку на страницу Google Sites, которая, в свою очередь, перенаправляла пользователей на приманку для фишинга кода устройства в стиле Microsoft, размещенную на Cloudflare Workers. Использование доверенных Облачных сервисов, вероятно, способствовало обходу фильтрации URL на основе репутации.

Приманка отображала код устройства и побуждала жертв продолжить аутентификацию с Microsoft. Когда пользователи продолжали процесс, страница инициировала опрос кода устройства в фоновом режиме. В проанализированных кампаниях запросы на опрос поступали на панель ARTokens backend, размещенную на `support.mayco-build.com`. Сборка панели содержала идентификатор `5.1.2-prod`, который отсутствовал в ранее наблюдаемых вариантах.

Фишинговая страница содержала XOR-шифрованный JavaScript с использованием 16-байтного ключа. После расшифровки скрипт выявил механизмы обнаружения ботов и песочниц, проверки на наличие Selenium, PhantomJS, Playwright, несоответствия в характеристиках браузера, размеры окна и ввод с помощью сенсорного экрана, а также отслеживание мыши и клавиатуры. Кроме того, в коде присутствовали захардкоженный URL панели, перенаправление после аутентификации и настраиваемые пути для опроса. Вместо фиксированных конечных точек `/api/device/start` и `/api/device/poll` в более новых развёртываниях могут использоваться псевдонимы, генерируемые оператором, например `/s/gc7mh`, что снижает надёжность обнаружения статических конечных точек. Запрос опроса содержал код устройства и IP-адрес жертвы.

Панель поддерживает стандартный перехват токенов Microsoft Office и рабочий процесс Authentication Broker, связанный с закреплением первичного токена обновления. Дополнительные возможности включают мониторинг почтовых ящиков, управление вредоносными правилами входящих сообщений, операции с SharePoint и кражу данных, администрирование Entra ID, уведомления через Телеграм, а также ARTBrowser — автономный клиент для Windows, предназначенный для использования скомпрометированных токенов Microsoft 365. Операторы также могут развертывать логику опроса через Cloudflare Workers, скрывая URL-адрес панели в бэкенде и снижая степень раскрытия инфраструктуры. В качестве индикаторов компрометации были идентифицированы пять IP-адресов панели и девять доменных имен.