微軟攜手coinbase搗毀evilTokens釣魚平臺

微軟數字犯罪部門（dcu）聯合coinbase、cloudflare、openai、railway、spycloud、shadowserver基金會、trm labs及health-isac,通過美國弗吉尼亞州東區聯邦法院授權的民事訴訟,查封了ai驅動的"釣魚即服務"平臺evilTokens的50個網站,另有超過175個關聯域名被停用,這也是微軟dcu歷史上第40次獲法院授權的網絡犯罪打擊行動,同時是其首次針對ai賦能犯罪服務出手。

evilTokens的技術核心是濫用微軟oauth 2.0設備授權登錄流程發起"設備代碼釣魚",藉此繞過多因素認證並靜默冒充受害者身份登錄microsoft 365應用;該平臺由威脅團伙storm-2992通過telegram機器人對外分發,提供44款可定製釣魚工具包,訂閱價格爲每月500美元或一次性1500美元買斷;犯罪團伙還部署ai聊天機器人分析已攻陷郵箱,自動梳理信任關係、識別誰掌握付款權限、判斷哪類目標最容易得手,並藉助"vibe coded"方式用ai直接生成攻擊工具代碼,大幅降低了技術門檻。

微軟方面披露,evilTokens自2026年2月上線以來擴張迅猛,微軟安全副總裁tanmay ganacharya表示自3月15日起該平臺平均每24小時就有10到15個新釣魚活動上線;截至目前已累計攻陷超過12000個microsoft 365郵箱賬戶,波及全球逾10000家機構,受害集中地包括美國、加拿大、英國、澳大利亞、印度和法國,受害行業涵蓋金融服務、醫療健康與高等教育。

coinbase全球情報團隊獨立追蹤鏈上資金流向,發現evilTokens在2025年10月至2026年6月期間通過4個tron地址累計收取約110萬美元"平臺費"收入,涉及逾1000筆存款,來自700多個不同地址;該團隊還調查了在coinbase平臺上購買該釣魚工具包的用戶身份,並將相關證據移交執法部門,爲微軟的民事訴訟提供了關鍵支撐。

英國大都會警察於9月18日星期五在倫敦金絲雀碼頭（canary wharf）與九榆樹區（nine elms）執行搜查令,逮捕兩名分別爲32歲和38歲的男子,二人涉嫌爲evilTokens網站的管理運營者,目前已獲保釋,案件調查仍在進行中。

從資金鍊條看,evilTokens的收入本質是"賣工具"而非直接行騙——storm-2992向下遊犯罪分子收取訂閱費獲利,資金經tron鏈上多個地址週轉沉澱;真正的資金損失則由被釣魚郵件誘導轉賬的終端用戶承擔,coinbase明確表示自身賬戶體系與憑證未被攻破,受損資金來自客戶被社工誘導後主動轉出的加密貨幣,損失發生在平臺之外的用戶決策環節;這次聯合打擊的直接受益方是微軟與coinbase等參與機構,查獲證據強化了其安全聲譽與後續執法話語權,而承壓方則是storm-2992及其釣魚工具包的購買者羣體,其身份信息已被移交執法部門。

據獨立安全廠商spycloud的數據顯示,evilTokens實際波及的規模比微軟披露的官方數字更大——涉及79個國家、6585個企業郵箱域名下的8708個已攻陷賬戶,其中97.5%的受害者爲企業域名賬戶,而非個人郵箱。

來源：公開信息