Киберпрестъпниците прекараха юли 2026 г. в доказване на това, че доверени бизнес инструменти, включително страници за удостоверяване на Microsoft, покани за събития в Zoom и официални правителствени портали, могат да бъдат експлоатирани като оръжие срещу корпоративни цели.

Проучвания за анализ на заплахите от ANY.RUN разкриват, че атакуващите в САЩ, Европа и Бразилия систематично експлоатират рутинни корпоративни работни процеси, за да заобикалят защитата на периметъра, да събират идентификационни данни и да поддържат дългосрочен достъп до системите.

Хакери превръщат доверени сайтове в инструменти за атака

Основната тенденция в пейзажа на заплахите през юли беше експлоатирането на легитимността на платформите. Фишинг операциите систематично пренасочваха целите през SharePoint, OneDrive, Microsoft Forms и легитимни интерфейси за удостоверяване, преди да доставят злонамерен код.

Фишинг платформа като услуга (PhaaS), известна като „Kratos“, разгърна примамки за споделяне на документи и примамки в стил „DocuSign“, за да насочи потребителите на Microsoft 365 през доверена облачна инфраструктура към страници за събиране на идентификационни данни.

Тъй като тези вериги от пренасочвания имитираха стандартни административни работни процеси, както автоматизираните защитни портали, така и човешките мишени пропускаха трафика.

Едновременно с това кампания, проследявана като „Kali365“, злоупотреби с оригиналния поток за удостоверяване чрез код на устройството на Microsoft. Чрез насочване на жертвите към автентични точки за вход в Microsoft и подтикването им да въвеждат генерирани от атакуващите кодове за оторизация, противниците получиха OAuth токени.

Тези откраднати токени за идентификация осигуриха постоянен облачен достъп до имейл архиви и споделени хранилища, без да се събират пароли за акаунти. Кампанията регистрира над 80 седмични засичания в изолирана среда в секторите на производството, здравеопазването, държавното управление и консултантските услуги.

Противниците допълнително разшириха механизмите за доставка, като злоупотребиха с легитимни страници за събития в Zoom, създавайки фалшиви срещи на върха, брандирани около партньорски конференции на OpenAI, Anthropic и Meta. Кликването върху бутона „Continue to register“ („Продължи към регистрация“) пренасочваше целите към фишинг интерфейси с код на устройството или проксита от тип „противник по средата“ (AiTM).

Както е описано подробно в анализа на кампанията от ANY.RUN, регионалните операции за киберзаплахи по подобен начин превърнаха в оръжие доверени домейни от публичния сектор.

В Бразилия кампанията „PhantomEnigma“ компрометира над 20 общински и полицейски уеб портала (.gov.br) за хостване на зловреден софтуер. Отвлечени общински имейл акаунти изпращаха фишинг примамки, които успешно преминаха проверките за проверка на SPF, DKIM и DMARC.

Проникванията в едно устройство често каскадно прерастваха в оперативен риск за цялото предприятие. Модулен злонамерен код като „DestinyStealer“ събираше идентификационни данни от браузъри, сесийни бисквитки, данни от Outlook, VPN профили, идентификационни данни от FileZilla и криптовалутни портфейли, извличайки данни през паралелни HTTP и TCP канали. Тези специализирани щамове зловреден софтуер за кражба на информация продължават да избягват традиционното статично антивирусно откриване.

По време на едно активно проникване изследователите наблюдаваха оператор, който разгръща „OVERLORD RAT“ чрез активен канал за командване и управление. В рамките на 45 минути атакуващият извлече 86 MB чувствителни файлове, сесии на браузъра, регистрационни файлове за вътрешни съобщения и съхранения на крипто портфейли.

Междувременно актуализациите на вариантите на „Banana RAT“ въведоха рандомизирани файлови структури и шифровани WebSocket комуникации, докато вторичните кампании разгръщаха „DARTHVADER Stealer“ чрез злонамерени файлове с кратки пътища, използвайки вградени инструменти на Windows, AutoIt и вериги от скриптове на PowerShell. Противниците разчитaт на тази устойчива командна инфраструктура, за да поддържат постоянен достъп след първоначалното изпълнение на крайната точка.

Критична констатация от тези юлски кампании е, че авторите на заплахи сменят инфраструктурата си много по-бързо, отколкото традиционните черни списъци могат да се актуализират. Обикновеното нулиране на пароли често не успява да отстрани проникванията, когато активните OAuth токени или сесийни бисквитки остават валидни в ръцете на атакуващия.

Екипите за сигурност трябва да преминат отвъд статичното блокиране на показатели за компрометиране (IOC) към телеметрия, базирана на поведението, непрекъснато наблюдение на сесиите и корелация на ниво кампания, за да идентифицират многоетапни вериги от атаки, преди да се случи странично движение.