Skyw4lker применяет device code phishing против компаний США
Кампания Skyw4lker нацелена на американские организации из производственного, технологического и медицинского секторов и использует авторизацию Microsoft 365 по коду устройства вместо традиционной кражи паролей. Аналитики ANY.RUN установили, что после подтверждения запроса жертвой злоумышленники могут получить токены доступа к ресурсам, доступным скомпрометированной учётной записи.
В основе схемы лежит легитимный механизм аутентификации, а не поддельная копия страницы входа. Поэтому в журналах идентификации событие может выглядеть как корректная авторизация, хотя пользователь подтвердил запрос, инициированный атакующими.
Как устроена цепочка Skyw4lker
Первой приманкой служит защищённый паролем документ, оформленный как контракт или предложение услуг. Такой формат вписывается в обычную деловую переписку, где сотрудники регулярно получают соглашения с поставщиками, коммерческие предложения и технические задания.
Из документа жертву направляют на страницу, размещённую на Google Sites. Далее открывается поток аутентификации Microsoft. Атакующим не требуется точно воспроизводить интерфейс входа Microsoft: обман заключается в том, чтобы убедить пользователя завершить реальный запрос авторизации, запущенный злоумышленниками.
После завершения процедуры атакующие получают доступ к выданным токенам Microsoft 365. Это отличает технику device code phishing от привычной фишинговой страницы, на которой жертва напрямую вводит логин и пароль. При таком сценарии одной телеметрии системы управления идентификацией может не хватить для понимания причин входа.
Инфраструктура и признаки кампании
ANY.RUN выявила в инфраструктуре Skyw4lker обфусцированный JavaScript и PHP-бэкенд. Они создают сессию жертвы, собирают такие сведения, как IP-адрес и геолокация, а затем регулярно обращаются к серверной части, ожидая завершения авторизации.
Статический разбор исходного документа способен показать начальный URL, но не всю последовательность действий. Существенные признаки появляются при наблюдении за работой браузера, выполнением JavaScript, обменом с бэкендом, перенаправлениями и авторизацией Microsoft.
Интерактивная песочница позволяет безопасно пройти эту цепочку и собрать URL, домены, IP-адреса, сетевую активность, скриншоты и другие индикаторы компрометации. Эти артефакты можно использовать для проверки связанных событий и создания правил обнаружения.
Что учитывать командам безопасности
Для SOC важна связка между письмом, вложением, веб-переходами и событием авторизации. Проверка только успешного входа способна оставить без внимания контекст, в котором сотрудник подтвердил чужой запрос на выдачу токена.
При расследовании полезно сопоставлять найденные индикаторы с исторической телеметрией и искать их в других сегментах инфраструктуры. Для организаций, работающих с корпоративной перепиской, интеллектуальной собственностью или регулируемыми данными, компрометация аккаунта Microsoft 365 может открыть доступ к чувствительной информации.
Практический вывод для бизнеса: защита от Skyw4lker требует анализировать не только учётные данные и MFA, но и весь путь до авторизации — от делового документа до сетевых обращений и выданных токенов.