Auf den Punkt: EvilTokens nutzt AES-GCM-Verschlüsselung und Device-Code-Phishing, um Microsoft-365-Konten zu übernehmen, während traditionelle E-Mail-Filter die Angriffe nicht erkennen.
Eine Phishing-Welle namens EvilTokens nutzt AES-GCM-Verschlüsselung, um HTML-Inhalte vor traditionellen E-Mail-Filtern zu verbergen. Die Angriffe zielt primär auf Microsoft-365-Konten ab und betrifft Unternehmen in den USA und Europa.
Die EvilTokens-Kampagne nutzt eine Angriffsmethod, die als Ghost Phishing bezeichnet wird: Der HTML-Code der Phishing-Seite wird mit AES-GCM verschlüsselt. Statische URL-Filter und netzwerkbasierte E-Mail-Sicherheitslösungen sehen daher bei der initalen Überprüfung nur eine harmlose Server-Antwort. Die Entschlüsselung und das Laden der eigentlichen Phishing-Inhalte ins Document Object Model (DOM) erfolgen erst im Webbrowser des Opfers, wodurch der Angriff der traditionellen Sicherheitsprüfung entgeht.
Das primäre Ziel ist die Übernahme von Microsoft-365-Konten über sogenanntes Device-Code-Phishing. Die Angreifer leiten Opfer durch einen legitim aussehenden Microsoft-Anmeldeprozess, um Kontozugriff zu erlauben – ohne dass Passwörter direkt abgegriffen werden müssen. Nach Daten des IT-Sicherheitsunternehmens ANY.RUN sind im Jahr 2026 bestimmte Branchen besonders stark betroffen: Beratung (75,6 %), Finanzdienstleistungen (72,8 %), Fertigungsindustrie (71,9 %), Technologie (67,9 %), Bankenwesen (66,7 %) und Managed Security Service Provider (66,1 %).
Sicherheitsanalysen in interaktiven Sandbox-Umgebungen zeigen die Funktionsweise der Kampagne. Durch die Analyse des Browser-Verhaltens lässt sich dokumentieren, wie der verborgene Code nach der Entschlüsselung im DOM erscheint. Dabei wird auch die Backend-Kommunikation sichtbar, bei der der Microsoft-Gerätecode an den Endpunkt /api/device/start übermittelt wird. Auf dieser Basis lassen sich automatisierte Erkennungsregeln und Verhaltsindikatoren entwickeln, um betroffene Infrastruktur zu blockieren und die Reaktionszeit bei der Eindämmung kompromittierter Konten zu verkürzen.
Quelle: www.it-daily.net · Erschienen 10. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.