Аналітики Cisco Talos виявили нову фішингову платформу під назвою ARToken, яка тісно пов’язана з відомим інструментарієм EvilTokens. Панель управління на базі React розкрила понад 80 кінцевих точок API, розроблених для компрометації корпоративних середовищ Microsoft 365. Зловмисники використовують вразливості в механізмі OAuth 2.0 Device Authorization Grant, змушуючи жертв самостійно вводити легітимні коди пристроїв і цим обходити двофакторну автентифікацію.

Система дозволяє хакерам викрадати маркери доступу, створювати тривалі підключення за допомогою первинних токенів оновлення та отримувати повний контроль над Outlook, SharePoint і OneDrive. Окрім цього, EvilTokens інтегрує модулі штучного інтелекту для автоматичного сканування зламаних скриньок на предмет фінансової вигоди та автоматичного написання текстів для шахрайських BEC-атак.