EvilTokens : un PhaaS augmenté par IA pour automatiser la fraude BEC via device code phishing

📰 Source : Sekoia TDR (blog.sekoia.io) — Date de publication : 7 avril 2026 (rapport FLINT TLP:AMBER distribué le 30 mars 2026)

Contexte

EvilTokens est un kit de Phishing-as-a-Service (PhaaS) apparu depuis mi-février 2026, spécialisé dans le device code phishing Microsoft et la fraude BEC (Business Email Compromise). Cet article constitue la partie 2 d’une analyse technique approfondie publiée par l’équipe TDR de Sekoia.

Fonctionnement du PhaaS

Le service est opéré via Telegram par l’administrateur eviltokensadmin, qui propose trois produits :

• EvilTokens B2B sender : 600$
• EvilTokens Office 365 capture link (kit device code phishing) : 1500$ (accès à vie) + 500$/mois de licence
• EvilTokens SMTP sender : 1000$

Les paiements sont traités via la passerelle crypto NOWPayments. Un navigateur personnalisé nommé Portal Browser / ET Browser est également vendu à 500$ sur machinemind-market[.]com, permettant l’accès simultané à plusieurs comptes Microsoft 365 compromis.

Architecture technique

Le kit PHP déployé par les affiliés (identifié sur GitHub via Railway.app) :

• Impersonne DocuSign ou Microsoft Outlook
• Implémente deux mécanismes anti-bot (validation User-Agent + token SHA256 temporel)
• Relaie les requêtes victimes vers un backend centralisé via trois endpoints (api/device/start, api/device/status/{sessionId}, api/ext/link/create)
• Utilise les headers X-Real-IP et X-Tenant-Secret pour l’authentification

Pipeline IA pour la fraude BEC

🤖 Le pipeline AI-driven d’EvilTokens se déroule en 6 étapes :

1. Pages de phishing impersonnant Adobe Acrobat, DocuSign ou Microsoft
2. Capture des tokens OAuth Microsoft (access + refresh)
3. Échange des tokens contre un Primary Refresh Token (PRT) pour la persistance
4. Reconnaissance via Microsoft Graph API : règles de messagerie, contacts (finance/RH/légal/achats), calendriers, emails envoyés, dossiers financiers, manager, subordonnés, organisation
5. Analyse LLM en deux étapes :
   • Stage 1 : ingestion de 5 000 emails par lots de 250 + rapport de reconnaissance → identification de l’exposition financière (modèle llama-3.1-8b-instant via API Groq)
   • Stage 2 : synthèse + génération de 3 emails BEC (modèle llama-3.3-70b-versatile via API Groq)
   • Traduction des emails non-anglais via gpt-4o-mini (OpenAI API)
6. Envoi des résultats (score BEC, rapport HTML, tokens convertis en cookies) au bot Telegram de l’attaquant

Techniques de jailbreak LLM

Les prompts adversariaux utilisent un jailbreak présentant le modèle comme un “authorized red team security analyst” pour contourner les garde-fous des LLM et générer des emails BEC réalistes avec contexte réel (montants, numéros de factures, style d’écriture imité).

Type d’article

Analyse technique approfondie d’un kit PhaaS actif, destinée à documenter les capacités offensives d’EvilTokens et à fournir des éléments de détection aux équipes CTI et SOC.

🧠 TTPs et IOCs détectés

TTP

• T1566 — Phishing (Initial Access)
• T1528 — Steal Application Access Token (Credential Access)
• T1550.001 — Use Alternate Authentication Material: Application Access Token (Defense Evasion)
• T1114.002 — Email Collection: Remote Email Collection (Collection)
• T1087 — Account Discovery (Discovery)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1534 — Internal Spearphishing (Lateral Movement)
• T1564 — Hide Artifacts (Defense Evasion)
• T1598 — Phishing for Information (Reconnaissance)
• T1557 — Adversary-in-the-Middle (Credential Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1496 — Resource Hijacking (Impact)
• T1586.002 — Compromise Accounts: Email Accounts (Resource Development)

IOC

• Domaines : machinemind-market.com — VT · URLhaus · ThreatFox
• Fichiers : index.php

Malware / Outils

• EvilTokens (other)
• Portal Browser (tool)
• ET Browser (tool)

🟡 Indice de vérification factuelle : 46/100 (moyenne)

• ⬜ blog.sekoia.io — source non référencée (0pts)
• ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ 0/1 IOCs confirmés externellement (0pts)
• ✅ 13 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://blog.sekoia.io/eviltokens-an-ai-augmented-phishing-as-a-service-for-automating-bec-fraud-part-2/