Американски организации под атака: Разкрита е фишинг кампанията Skyw4lker с оторизация на устройства

Съвременните фишинг кампании могат да компрометират американски компании, без да разчитат на традиционна кражба на идентификационни данни. Атакуващите могат да злоупотребят с легитимни облачни услуги, механизми за удостоверяване и надеждни бизнес работни процеси, за да получат достъп до корпоративни акаунти, оставяйки по-малко очевидни следи след себе си.

Анализът на ANY.RUN на Skyw4lker, фишинг кампания с кодове за устройства (device code phishing), насочена предимно към организации в САЩ, показва как работи това на практика. Кампанията се фокусира върху производството, технологиите и здравеопазването, използвайки документи с бизнес тематика, инфраструктура, хоствана от Google, и процеси на удостоверяване на Microsoft за улесняване на компрометирането на акаунти.

За екипите по сигурност разследването надхвърля идентифицирането на първоначалната примамка. То изисква проследяване на процеса на удостоверяване и поддържащата инфраструктура, извличане на надеждни индикатори и превръщане на тези констатации в правила за засичане, които могат да защитят по-широката организация.

Фишингът с кодове за устройства: Нарастващо предизвикателство за организациите в САЩ

Мащабът на фишинга в Съединените щати предоставя важен контекст. Центърът за оплаквания от интернет престъпления на ФБР (IC3) е регистрирал 193 407 жалби за фишинг и подправяне на идентичност (spoofing) през 2024 г., което го прави една от най-често докладваните категории интернет престъпления. През 2025 г. ФБР регистрира над 1 милион жалби за интернет престъпления и 20,9 милиарда долара докладвани загуби, като докладваните загуби се увеличават с 26% в сравнение с предходната година.

Атакуващите се адаптират и към организации, които са инвестирали сериозно в сигурността на самоличността и многофакторното удостоверяване (MFA).

Фишингът с кодове за устройства е един такъв пример. Вместо да събира идентификационни данни чрез фалшива страница за вход, атакуващият може да инициира легитимен процес за авторизация на устройство и да убеди жертвата да го завърши. Получените токени за удостоверяване след това могат да осигурят достъп до ресурсите, достъпни за компрометирания акаунт.

Как Skyw4lker използва легитимно удостоверяване за компрометиране на акаунти

Как работи кампанията Skyw4lker

Skyw4lker започва с примамка, проектирана да наподобява нормална бизнес кореспонденция, както е наблюдавано в анализа в интерактивната изолирана среда на ANY.RUN.

Жертвите получават защитен с парола документ, представен като договор или предложение за услуга. Сценарият е достоверен в среди, където служителите рутинно обменят споразумения с доставчици, документи за обществени поръчки, технически задания и подобни файлове.

От документа жертвата бива насочена към страница, хоствана на sites[.]google[.]com, която в крайна сметка води до процес на удостоверяване на Microsoft.

Атакуващият не е необходимо да възпроизвежда перфектно потребителския интерфейс за вход на Microsoft. Самото удостоверяване може да бъде легитимно; измамата се състои в убеждаването на жертвата да завърши заявка за удостоверяване, инициирана от атакуващия.

След като процесът приключи, атакуващият може да получи достъп до получените токени за Microsoft 365.

Това прави атаката трудна за оценяване единствено чрез телеметрията на идентичността. Дадена организация може да види валидно събитие за удостоверяване, без веднага да забележи злонамерения контекст, който го е предизвикал. Установяването на случилото се изисква екипът по сигурност да свърже документа, уеб активността, процеса на удостоверяване и свързаната инфраструктура.

Инфраструктурата зад фишинг страницата на Skyw4lker

Уеб инфраструктурата, използвана от Skyw4lker, предоставя допълнителни доказателства за функционирането на кампанията.

Анализът на ANY.RUN установи обфускиран JavaScript и PHP бекенд, използвани за създаване на потребителска сесия на жертвата, събиране на информация като IP адрес и геолокация и многократно запитване на бекенда, докато се изчаква завършването на процеса на удостоверяване.

Статичната проверка на оригиналния документ може да разкрие началния URL адрес, но не може да обясни напълно какво се случва, след като жертвата взаимодейства със страницата. Злонамереното поведение се проявява чрез комбинацията от активност в браузъра, изпълнение на JavaScript, комуникация с бекенда, пренасочвания и удостоверяване.

Това прави поведенческия анализ от съществено значение, когато целта е да се установи точно какво прави дадена фишинг кампания и на кои индикатори може да се разчита за последващо засичане.

Вижте анализа на Skyw4lker в интерактивната изолирана среда на ANY.RUN, за да проследите пълната верига на атаката и свързаните с нея IOC.

Намалете натоварването на Tier 1 с до 20% и дайте на анализаторите повече време да се съсредоточат върху критичните заплахи.

Интерактивната изолирана среда превръща подозрителните файлове и URL адреси в приложими доказателства

Интерактивната изолирана среда позволява на екипите по сигурност безопасно да изпълняват и да взаимодействат с подозрителни файлове, връзки и документи, разкривайки поведение, което статичната проверка може да пропусне.

Това е от значение при кампании като Skyw4lker, където документът е само отправната точка. Анализаторите трябва да проследят атаката през браузъра, да наблюдават пренасочванията и активността по удостоверяване, да проверят мрежовата комуникация и да идентифицират инфраструктурата зад фишинг процеса. Всичко това може да бъде направено в изолирана среда на ANY.RUN Sandbox, като резултатът е наличен само за 40 секунди.

Вместо да спира до заключение „злонамерен/безопасен“, разследването може да предостави URL адреси, домейни, IP адреси, мрежова активност, екранни снимки, поведенчески доказателства и други IOC. Тези констатации дават на екипите по сигурност необходимия контекст за валидиране на предупреждение, определяне на обхвата на свързаната активност и създаване на правила за засичане въз основа на доказателства, събрани по време на едно-единствено разследване.

В резултат на това екипите на SOC и MSSP могат да достигнат до сигурно заключение по-бързо, без да се налага ръчно да възпроизвеждат атаката в множество различни инструменти, докато получените разузнавателни данни могат да подпомогнат търсенето на заплахи (threat hunting) и засичането им в цялата по-широка среда. Освен това същият работен процес улеснява MSSP при разследването на нови кампании и превръщането на констатациите от казуса на един клиент в разузнавателни данни, които могат да се търсят в средите на други клиенти.

Превръщане на разузнавателните данни за заплахи в по-ранно засичане

Стойността на даден IOC нараства, когато той може да бъде използван за засичане на друга атака.

Потоците от данни за заплахи на ANY.RUN (TI Feeds) предоставят злонамерени IP адреси, домейни, URL адреси и контекстуална информация, извлечена от разследвания в изолирана среда. 99% от уникалните индикатори за компрометиране (IOC) с висока степен на достоверност се добавят към TI Feeds след валидиране, което помага на екипите по сигурност да работят с разузнавателни данни, които вече са били прегледани.

Вътрешният анализ на ANY.RUN установи, че до 30% от уникалните зловредни индикатори за компрометиране (IOC), открити в сесии в интерактивната изолирана среда, вече са били наблюдавани от компанията и са присъствали в потоците от данни за заплахи (TI Feeds). Когато някой от тези индикатори се появи в телеметрията на клиент, той потенциално може да бъде съпоставен със съществуващата разузнавателна информация, преди аналитикът ръчно да изследва свързаната проба.

Това създава по-ефективен работен процес: известната зловредна дейност може да бъде идентифицирана по-рано, докато анализът в изолирана среда предоставя поведенческите доказателства, необходими за разследване на непознати заплахи.

За вътрешните центрове за сигурност (SOC) това може да намали времето, отделено за проучване на индикатори, за които вече е известно, че са зловредни. За доставчиците на управлявани услуги за сигурност (MSSP) същата разузнавателна информация може да помогне за идентифициране на свързана дейност в множество клиентски среди. Ето как съществуващото познание за заплахите може да се използва повторно, вместо да се изгражда наново за всеки нов сигнал за тревога.

Намалете средното време за отстраняване (MTTR) с 21 минути и дайте на вашия SOC повече време да се съсредоточи върху критичните заплахи.

Разузнаването за заплахи осигурява контекст зад сигнала за тревога

Даден индикатор става по-полезен, когато екипите по сигурност могат да разберат дейността около него.

Инструментът за справки в разузнаването за заплахи (TI Lookup) на ANY.RUN позволява на аналитиците да изследват подозрителен домейн, IP адрес или URL адрес и да прегледат неговата история и свързана дейност. При разследване, свързано със Skyw4lker, този контекст може да помогне да се определи дали даден индикатор е свързан с кампанията, дали се е появявал в друга зловредна дейност или изисква по-нататъшно разследване.

Освен това докладите от разузнаването за заплахи (TI Reports) на ANY.RUN предоставят по-широка перспектива, като свързват индикаторите с кампании, инфраструктура, техники и наблюдавано поведение. Това може да разкрие взаимовръзки, които трудно се виждат от отделни сигнали, като например множество инциденти, споделящи една и съща инфраструктура, или подозрителен домейн, принадлежащ към по-мащабна фишинг операция.

Когато става въпрос за организации в секторите на здравеопазването, производството и технологиите в САЩ, тези връзки могат да бъдат особено важни. Компрометиран профил в Microsoft 365 може да изложи на риск чувствителни комуникации, интелектуална собственост, оперативна информация и регулирани данни, което прави ранното идентифициране на свързаната дейност от решаващо значение.

Как да направите всяко разследване на SOC и MSSP по-ценно

Успешното разследване трябва да подобри способността на организацията да открие следващата атака.

За MSSP, разследващ подозрителен договор, изпратен до клиент от американското производство, индикаторите, свързани със Skyw4lker, могат да бъдат потърсени в средите на други клиенти и да бъдат включени в мониторинга. Същият подход работи и в рамките на вътрешна SOC среда, където индикатор за компрометиране (IOC), открит след като служител докладва фишинг документ, може да бъде сравнен с историческата телеметрия, за да се идентифицират други потенциално засегнати потребители.

ANY.RUN поддържа тези работни процеси чрез интеграции с API/SDK, STIX/TAXII, SIEM, TIP и XDR, позволявайки разузнавателната информация от разследванията да захранва съществуващите процеси за откриване и наблюдение.

Резултатът е по-широка защита от същото разследване: инцидент, засягащ един потребител, може да генерира разузнавателна информация, която помага да се идентифицира свързана дейност в по-широката клиентска база на SOC или MSSP.

Разкрийте до 58% повече заплахи и получете по-широка видимост за нововъзникващите атаки.

Заключение

Skyw4lker показва защо съвременната защита срещу фишинг изисква видимост отвъд първоначалната примамка или страница за вход. Чрез комбиниране на интерактивна изолирана среда, разузнаване за заплахи и контекстуално разследване, екипите по сигурност могат да преминат по-бързо от подозрителен артефакт към приложима разузнавателна информация и по-широко откриване.

За организациите в САЩ това означава по-бързи разследвания, по-малко повтаряща се ръчна работа и по-добра способност за идентифициране на свързана дейност, преди тя да се превърне в по-голям инцидент. Целта е не само да се разбере една атака, но и всяко разследване да се превърне в защита срещу следващата.