ARToken: Por dentro de um painel de afiliados EvilTokens visando Microsoft 365

A Cisco Talos identificou o painel ARToken, uma plataforma de phishing como serviço (PhaaS) que compartilha infraestrutura com o EvilTokens. O painel oferece mais de 80 endpoints de API para phishing de código de dispositivo, persistência via Primary Refresh Token, acesso a e-mails, comprometimento de e-mails corporativos (BEC) e exfiltração do SharePoint. A análise do JavaScript público revelou um kit completo de pós-comprometimento, incluindo um sistema de evasão de sete camadas com verificação comportamental e payloads ofuscados com XOR. A plataforma representa uma ameaça sofisticada que abusa do fluxo OAuth 2.0 Device Authorization Grant para burlar MFA.