Microsoft 365 hesaplarını hedef alan yeni bir kimlik avı kampanyası, DEBULL adlı yeniden kullanılabilir bir araç seti kullanarak cihaz kodu kimlik avı tekniğini uyguluyor. ZeroBEC tarafından tespit edilen kampanya, Haziran 2026'nın son haftasından Temmuz başına kadar aktif olup, işbirliği temalı tuzaklarla kurbanları Microsoft'un meşru cihaz giriş deneyimine yönlendiriyor. Arkada çalışan bir arka uç aracı, Microsoft Authentication Broker cihaz kodu token'ları üretip sorgulayarak saldırganlara hesap erişimi sağlıyor.
Cihaz kodu kimlik avı, OAuth 2.0 cihaz yetkilendirme akışını kullanan bir kimlik hırsızlığı tekniğidir. Saldırganlar, kullanıcıları meşru bir kimlik doğrulama istemini tamamlamaya ikna ederek çok faktörlü kimlik doğrulamayı (MFA) atlatır ve kalıcı hesap erişimi elde eder. Geleneksel kimlik avından farklı olarak, sahte giriş sayfaları kurmaya gerek yoktur; bunun yerine kullanıcıya bir cihaz kodu gösterilir ve bu kodun ayrı bir cihazda girilmesi istenir. Saldırgan, bu kodu kendisi başlatır ve kurban kodu girdiğinde kendi oturumunu yetkilendirmiş olur.
ZeroBEC'in analizine göre, kampanya ödeme ve paylaşılan klasör bahaneleriyle e-postalar göndererek kurbanları meşru ancak ele geçirilmiş bir Hırvat kiralama web sitesine yönlendiriyor. Bu site, Microsoft cihaz kodu zincirini başlatan bir düzenleyici olarak çalışıyor. Altyapı incelemeleri, DEBULL'un bir kimlik avı hizmeti (PhaaS) platformu olduğunu ve GraphSpy türevi bir iş akışı kullandığını gösteriyor. Ayrıca, Türkçe geliştirici işaretleri bulunmasına rağmen, kampanyanın kesin kaynağı belirlenememiştir.
Cisco Talos, DEBULL'a benzer şekilde ARToken adlı bir PhaaS paneli tespit etti. ARToken, EvilTokens platformu ile altyapı ve API kalıplarını paylaşarak 80'den fazla API uç noktası sunuyor. Bu uç noktalar, cihaz kodu kimlik avı, PRT kalıcılığı, e-posta erişimi, BEC operasyonları ve SharePoint sızdırma gibi işlemleri mümkün kılıyor. Bu gelişmeler, Storm-2372 tarzı kimlik avı taktiklerinin artık yeniden kullanılabilir aracı altyapılarına paketlendiğini ve tehdit aktörlerinin kolayca kampanya düzenleyebildiğini gösteriyor.
