Пять активных киберугроз атакуют корпоративные аккаунты в США
В октябре 2026 года исследователи ANY.RUN выделили пять активных угроз для организаций в США: фишинговые наборы SkyW4lker, GeorgeGinx и Mir0Auth, кампании с поддельными ИИ-приложениями и троян WKLP. Для SkyW4lker с июня по 21 октября было зафиксировано 618 анализов в песочнице, причём 46% пришлись на США.
Общая черта кампаний — злоумышленники используют доверие к легитимным платформам, привычным процессам аутентификации и рабочим документам. Последствия могут включать захват корпоративных учётных записей, кражу данных и нарушение операционной деятельности.
Фишинг через легитимную аутентификацию
SkyW4lker, GeorgeGinx и Mir0Auth эксплуатируют механизм Microsoft Device Code. Вместо кражи пароля или прямого обхода многофакторной аутентификации жертву через письмо, CAPTCHA или доверенный сервис приводят на легитимную страницу Microsoft и предлагают ввести код устройства. Это может предоставить атакующим несанкционированный доступ к аккаунту.
SkyW4lker маскирует письма под договоры, счета и деловые предложения. В ходе исследования ANY.RUN связал инфраструктуру набора с другим фишинговым комплектом Gabagool; среди связанных URL и активности были затронуты организации из технологического сектора, госструктур, образования, консалтинга и здравоохранения.
GeorgeGinx использует легитимные ссылки Adobe Shared Links как промежуточное звено для перехода на фишинговые страницы Device Code. Mir0Auth начинает атаку с PDF-вложений в письмах, которые ведут на поддельные страницы DocuSign. Исследователи обнаружили в этой цепочке обфусцированные сценарии и скрытые запросы аутентификации, предназначенные для получения токенов Microsoft 365.
Поддельные ИИ-сервисы и вредоносное ПО
Отдельные кампании используют интерес компаний к ИИ-инструментам. ANY.RUN связал с такими атаками 1 258 анализов: США заняли второе место в мире по числу отправленных образцов, а в двух крупных группах кампаний — первое. Злоумышленники выдают вредоносные загрузки и приглашения на мероприятия за сервисы ChatGPT, Claude и другие известные продукты.
В одном из случаев настоящий установщик Claude запускался одновременно со скрытыми процессами, которые похищали cookies браузера. Такие данные потенциально позволяют получить доступ к рабочим аккаунтам без повторного запроса MFA. Поэтому доверие к известному имени продукта не заменяет проверку источника загрузки и неожиданных приглашений.
Пятый сценарий связан с WKLP — стилером на Python с функциями трояна удалённого доступа. Его наблюдали против государственных организаций США и Франции. Вредонос использует PowerShell и легитимную среду выполнения Python, крадёт учётные данные, данные браузера и файлы, а затем поддерживает удалённый доступ к скомпрометированной системе.
WKLP добавляет исключения в Microsoft Defender, завершает процессы защиты и создаёт замаскированные правила брандмауэра. Эти действия ослабляют защиту конечной точки и создают условия для длительного присутствия атакующих.
Что проверить защитным командам
Организациям стоит ограничить ненужную аутентификацию Device Code через политики Microsoft Entra Conditional Access и отслеживать подозрительные запросы такого типа. При признаках компрометации Microsoft 365 необходимо отозвать затронутые сессии и обновить средства обнаружения актуальными URL и доменами.
Также важно контролировать несанкционированные исключения Microsoft Defender, активность PowerShell и изменения правил брандмауэра. Для бизнеса практический вывод состоит в том, что домен известного сервиса, приглашение на ИИ-мероприятие или стандартная страница входа сами по себе не подтверждают безопасность: проверка цепочки переходов, установщиков и событий аутентификации должна стать частью обработки инцидента.