Skyw4lker zloupotrebljava device code prijavu za pristup nalozima
Kampanja Skyw4lker, koju je analizirao ANY.RUN, prvenstveno cilja organizacije u SAD iz proizvodnje, tehnologije i zdravstva. Napad koristi dokumente predstavljene kao ugovori ili ponude usluga, Google-hostovanu infrastrukturu i Microsoftov tok autentifikacije kako bi napadač došao do tokena za Microsoft 365 nalog, bez klasične krađe lozinke na lažnoj stranici za prijavu.
Ovaj obrazac je važan zato što se oslanja na legitimni mehanizam device code autorizacije. Napadač pokreće zahtev za autentifikaciju, a žrtvu obmanom navodi da ga odobri. Kada korisnik dovrši postupak, tokeni koji nastanu mogu omogućiti pristup resursima dostupnim kompromitovanom nalogu.
Legitimna prijava ne znači i bezbedan zahtev
FBI-jev Internet Crime Complaint Center je za 2024. zabeležio 193.407 prijava fišinga i lažnog predstavljanja. Tokom 2025. FBI je evidentirao više od milion prijava internet kriminala i prijavljene gubitke od 20,9 milijardi dolara, što je rast od 26 odsto u odnosu na prethodnu godinu.
Skyw4lker počinje dokumentom zaštićenim lozinkom. Dokument se predstavlja kao poslovna prepiska koja može delovati uverljivo zaposlenima naviknutim na razmenu ugovora s dobavljačima, nabavnih dokumenata, izjava o radu i sličnih fajlova. Zatim korisnika usmerava na stranicu na sites.google.com, odakle se tok nastavlja ka Microsoft autentifikaciji.
Problem za bezbednosne timove je u tome što identitetska telemetrija može prikazati važeći događaj prijave, ali bez konteksta koji otkriva obmanu. Zato istraga ne može stati na samoj prijavi: potrebno je povezati dokument, ponašanje pregledača, preusmerenja, autentifikacioni tok i infrastrukturu koja podržava kampanju.
Šta otkriva infrastruktura kampanje
ANY.RUN je uočio maskirani JavaScript i PHP pozadinski sistem. Oni se koriste za kreiranje sesije žrtve, prikupljanje podataka kao što su IP adresa i geolokacija, kao i za ponavljano obraćanje pozadinskom sistemu dok se čeka završetak autentifikacije.
Statički pregled dokumenta može otkriti početni URL, ali ne prikazuje ceo sled aktivnosti. Zlonamerno ponašanje postaje vidljivo tek kada se sagledaju izvršavanje JavaScripta, komunikacija sa pozadinom, mrežna aktivnost, preusmerenja i rad korisnika u pregledaču.
Od jednog upozorenja do šire detekcije
Interaktivno izolovano izvršavanje sumnjivih dokumenata i URL-ova može dati URL-ove, domene, IP adrese, snimke ekrana, mrežnu aktivnost i druge indikatore kompromitacije. Takvi podaci služe za potvrdu upozorenja, utvrđivanje obima povezane aktivnosti i izradu detekcija zasnovanih na konkretnim dokazima.
ANY.RUN navodi da se 99% jedinstvenih indikatora visokog poverenja dodaje u TI Feeds nakon validacije. Njihova interna analiza pokazala je i da je do 30% jedinstvenih zlonamernih indikatora pronađenih u Interactive Sandbox sesijama već bilo viđeno i prisutno u tim feedovima.
Za SOC i MSSP timove praktičan zaključak je da svaki sumnjivi dokument treba posmatrati kao početak šire provere, a ne kao izolovan slučaj. Povezivanje potvrđenih indikatora sa istorijskom telemetrijom i drugim okruženjima pomaže da se isti obrazac otkrije pre nego što preraste u veći incident.