Die Klage reichte Microsoft gemeinsam mit der Non-Profit-Organisation Health-ISAC bei einem US-Bundesbezirksgericht ein. Auf dieser Grundlage konnten die Plattform und die zugehörige Infrastruktur zerschlagen werden. Nach Angaben von Steven Masada beschlagnahmte Microsoft mit Unterstützung Dutzender Unternehmen 50 Websites, über die der Dienst betrieben wurde, und legte 150 weitere Domains still. Beteiligt waren unter anderem Cloudflare, Coinbase, die Shadowserver Foundation und TRM Labs; OpenAI bezeichnete Microsoft als wichtigen Partner der Aktion. Zu weiteren KI-Diensten, auf die EvilTokens zurückgriff, wollte sich das Unternehmen nicht äußern – die Plattform habe Fähigkeiten mehrerer KI-Modelle kombiniert.
Ein Sprecher der Metropolitan Police bestätigte die Festnahmen im Rahmen von Ermittlungen zu dem Phishing-Dienst. Beamte durchsuchten zwei Objekte; der Verdacht lautet auf Herstellung von Gegenständen zur Verwendung bei Betrug sowie Geldwäschedelikte. Microsoft hatte den Fall im August bei der Londoner Polizei angezeigt. „Phishing-Dienste bringen Tausenden Leid und nehmen Menschen auf der ganzen Welt ihr Geld", sagte Detective Inspector Serena D’Adamo, deren Team die Ermittlungen leitete.
Besonders ungewöhnlich war laut Microsoft der Automatisierungsgrad: EvilTokens verband bislang getrennte Arbeitsschritte krimineller Kampagnen. Die Werkzeuge konnten E-Mails zusammenfassen und übersetzen, Finanzgespräche herausfiltern, Rollen innerhalb einer Organisation kartieren, Vertrauensbeziehungen erkennen und Ziele vorschlagen. Vorgefertigte Eingabeaufforderungen suchten gezielt nach Überweisungsabsprachen, identifizierten die „Geldbeweger" einer Organisation, fanden Lieferantenrechnungen und ermittelten, wessen Identität sich am besten vortäuschen ließ.
„Die Plattform konnte sogar Betrugsstrategien empfehlen, einschließlich des Verfassens von Nachrichten, die vertraute Kontakte imitierten", so Masada. KI habe Angreifern nicht nur beim Formulieren überzeugenderer Nachrichten geholfen, sondern auch bei der Entscheidung, wen sie ins Visier nehmen, wessen Identität sie annehmen und wie sie eine Beziehung möglichst gewinnbringend ausnutzen. Während das Durchsuchen eines kompromittierten Postfachs nach lohnenden Ansatzpunkten früher Tage oder Wochen dauerte, erledigte EvilTokens dies weitgehend automatisiert in Minuten.
Der Dienst bot Dutzende vorgefertigter Phishing-Vorlagen und Landing-Pages samt KI-Assistent für zielgenaue Mails. Die Köder nutzten 44 verschiedene Themen, von Rechnungen bis zu Anfragen zur Dateifreigabe, und enthielten in der Regel schädliche URLs, PDFs oder andere Dateitypen.
Zu den meistgenutzten Funktionen zählte laut Microsoft der Device-Code-Phishing-Ablauf. Er zielt auf Geräte, die keine üblichen Anmeldeverfahren unterstützen – Smart-TVs, Drucker, Konferenzsysteme oder Teams-Geräte. Dabei startet nicht ein legitimes Gerät die Anmeldung, sondern der Angreifer; das Opfer erhält den Code über einen Phishing-Köder und autorisiert mit der Eingabe unwissentlich die Sitzung der Kriminellen. Ein Passwort wird nie übergeben, der Zugriff auf das Postfach kann selbst nach einer Passwortänderung bestehen bleiben.
Die Ermittler stellten außerdem fest, dass EvilTokens weitgehend „vibe coded" war – also überwiegend mithilfe großer Sprachmodelle gebaut. Die Plattform verfügte über Kundensupport, Verwaltungsoberflächen und Werkzeuge zur Automatisierung großer Teile der finanziellen Ausbeutung und stützte sich auf ein Geflecht aus Hosting-Anbietern, Cloud-Diensten und KI-Werkzeugen.
Zuletzt hatte Microsoft im Juni Hunderte Server und Domains einer Cybercrime-as-a-Service-Infrastruktur zerschlagen, über die die Schadsoftware SocGholish, Amadey und StealC verbreitet wurde. Zuvor traf es im vergangenen Jahr Plattformen wie RaccoonO365 und RedVDS.