Pet kampanja koje zloupotrebljavaju poverenje u poslovnim sistemima

Tokom oktobra 2026. aktivno je pet kampanja koje ugrožavaju američke organizacije: phishing kompleti SkyW4lker, GeorgeGinx i Mir0Auth ciljaju Microsoft 365 naloge kroz Device Code prijavu, lažne AI kampanje kradu pristupne podatke, a WKLP malver slabi Microsoft Defender radi trajnog udaljenog pristupa. Istraživači ANY.RUN-a evidentirali su 618 sandbox analiza povezanih sa SkyW4lkerom između juna i 21. oktobra, pri čemu je 46% analiza poteklo iz SAD.

Zajednički obrazac nije nužno krađa lozinke niti direktno zaobilaženje višefaktorske autentikacije. Napadači korisnika vode do legitimne Microsoft stranice i navode ga da unese Device Code, čime mogu steći neovlašćen pristup korporativnom nalogu. Početna poruka često liči na ugovor, fakturu ili poslovnu ponudu, a prethode joj CAPTCHA provere i prelazak preko servisa kojima korisnik inače veruje.

Device Code i poznati servisi kao maska za phishing

SkyW4lker je povezan i sa drugom phishing infrastrukturom, uključujući komplet Gabagool. U jednoj istrazi, IP adresa 198.23.223.185 vodila je ka povezanim URL adresama i aktivnostima koje su zahvatile organizacije iz tehnologije, javnog sektora, obrazovanja, konsaltinga i zdravstva u SAD, Latinskoj Americi i Evropi.

GeorgeGinx, phishing-as-a-service operacija, cilja javni sektor, bankarstvo, zdravstvo i IT u SAD. Za preusmeravanje ka Microsoft Device Code stranicama koristi legitimne Adobe Shared Links. Sam domen za deljenje dokumenata zato nije dovoljan signal bezbednosti: odredište mogu otkriti promene HTML DOM-a, skripte stranice i HTTP zahtevi.

Mir0Auth takođe cilja korisnike Microsoft 365. Lanac napada počinje porukom sa zlonamernim PDF prilogom, zatim žrtvu vodi na lažnu DocuSign stranicu. Zamaskirane skripte i skriveni zahtevi za autentikaciju služe pribavljanju Microsoft 365 tokena, što napadaču može otvoriti pristup poslovnoj komunikaciji i podacima bez posedovanja lozinke.

Lažni AI alati i malver na endpointu

ANY.RUN je sa lažnim AI kampanjama povezao 1.258 sandbox analiza, dok su SAD bile drugi najveći izvor prijava na globalnom nivou. Kampanje se predstavljaju kao aplikacije ili pozivnice za događaje povezane sa ChatGPT-om, Claude-om i drugim poznatim servisima. U jednom slučaju se pokrenuo pravi Claude instalacioni program, dok su skriveni procesi krali kolačiće sesija pregledača. Takvi kolačići potencijalno omogućavaju pristup poslovnim nalozima bez novog MFA zahteva.

WKLP je Python-based infostealer i trojanac za udaljeni pristup uočen protiv državnih organizacija u SAD i Francuskoj. Krade akreditive, podatke iz pregledača i osetljive fajlove, a za izvršavanje koristi PowerShell i legitimno Python okruženje. Dodavanjem izuzetaka u Microsoft Defender, gašenjem bezbednosnih procesa i kreiranjem prikrivenih firewall pravila, malver povećava mogućnost krađe podataka i produžene kompromitacije.

Operativne mere za bezbednosne timove

• Ograničiti nepotrebnu Device Code autentikaciju kroz Microsoft Entra Conditional Access i pratiti sumnjive prijave.
• Ne procenjivati bezbednost linka samo po domenu servisa za deljenje dokumenata; proveravati preusmeravanja, skripte i zahteve.
• Odobravati pouzdane AI aplikacije, ograničiti neovlašćene instalacije i proveravati neočekivane pozivnice.
• Uključiti Microsoft Defender Tamper Protection i nadzirati neovlašćene izuzetke, PowerShell aktivnost i izmene firewall pravila.
• Ažurirati detekcije svežim URL adresama, domenima i drugim indikatorima kompromitacije.

ANY.RUN navodi da njegovi korisnici beleže 94% bržu trijažu, 21 minut kraći MTTR po incidentu i 30% manje eskalacija sa prvog na drugi nivo. Bez obzira na alat, poslovni zaključak je jasan: kontrole identiteta, vidljivost preusmeravanja i nadzor endpointa moraju zajedno obuhvatiti legitimne platforme koje napadači danas pretvaraju u deo svog lanca napada.