5 активни киберзаплахи, които изложиха на риск американския бизнес през октомври 2026 г.

Октомври 2026 г. донесе поредна вълна от киберзаплахи, насочени към бизнеса в САЩ, като атакуващите злоупотребяват с доверени платформи, легитимни процеси за удостоверяване и ежедневни бизнес работни потоци. За предприятията тези кампании повишават залога отвъд отделни инциденти със сигурността, като увеличават риска от финансови загуби, пробиви в данните и скъпоструващи прекъсвания на дейността.

По-долу разглеждаме пет активни киберзаплахи чрез реални разследвания в изолирана среда, разкривайки как функционират, рисковете, които представляват за организациите, и как екипите по сигурността могат да откриват и овладяват атаките по-бързо, за да сведат до минимум въздействието върху бизнеса.

1. SkyW4lker: Фишинг срещу Microsoft 365 излага на риск корпоративните акаунти в САЩ

SkyW4lker е активен фишинг комплект, който злоупотребява с легитимното удостоверяване чрез код на устройство (device-code authentication) на Microsoft, за да компрометира корпоративни акаунти без кражба на пароли или заобикаляне на многофакторното удостоверяване (MFA). Изследователите на ANY.RUN идентифицираха 618 свързани анализа в изолирана среда между юни и 21 октомври 2026 г., като 46% от тях идват от САЩ.

Атаката започва с фишинг имейли, маскирани като договори, фактури или бизнес предложения. Жертвите преминават през CAPTCHA проверки и доверени платформи, преди да бъдат насочени към легитимната страница за удостоверяване на Microsoft, където въвеждането на код на устройство може да предостави на атакуващите неоторизиран достъп до акаунта.

Разкриване на пълната кампания за секунди чрез Related Threat Context

Един фишинг URL адрес може да разкрие цяла операция със заплахи. Мощната нова функционалност на ANY.RUN, Related Threat Context, мигновено свързва подозрителната активност с предишни разследвания в изолирана среда и по-широко разузнаване за заплахите. При разследването на SkyW4lker тя помогна на изследователите да разкрият допълнителна злонамерена инфраструктура и да проследят технически връзки с Gabagool, друг фишинг комплект, което значително намали ръчната работа по разследването.

Започвайки със сесия в изолирана среда на SkyW4lker, изследователите преминаха директно от Related Threat Context към TI Lookup, за да проучат IP адрес 198.23.223.185, разкривайки свързани URL адреси и активност на заплахата.

Резултатите разкриха свързана активност в технологични, правителствени, образователни, консултантски и здравни организации, с подадени сигнали от САЩ, Латинска Америка и Европа. Екипите в центровете за оперативна сигурност (SOC) могат да използват свързаните URL адреси, за да обогатят съществуващите системи за откриване и да търсят свързани заплахи. Това намалява ръчната работа по разследването, ускорява първоначалната оценка (триажа) и помага на организациите да идентифицират потенциална уязвимост, преди тя да доведе до скъпоструващи инциденти.

За да защитите вашата организация: Ограничете ненужното удостоверяване чрез код на устройство през Microsoft Entra Conditional Access и разследвайте подозрителните индикатори отвъд първоначалния сигнал. Използвайте Related Threat Context на ANY.RUN, за да идентифицирате свързана инфраструктура и да съберете съответните индикатори за компрометиране (IOC) за проактивно откриване, помагайки на вашия SOC да овладява заплахите по-бързо и да намалява риска от скъпоструващи инциденти.

Съкратете средното време за реакция (MTTR) с 21 минути на случай и намалете въздействието на кибератаките.

Осигурете на вашия SOC доказателствата, за да разследва по-бързо и да овладява заплахите по-скоро.

2. Фалшиви AI кампании атакуват бизнеса в САЩ с кражба на идентификационни данни и компрометиране на акаунти

Киберпрестъпниците се възползват от приемането на изкуствения интелект чрез фалшиви приложения и покани за събития, имитиращи ChatGPT, Claude и други популярни услуги. Изследователите на ANY.RUN свързаха 1,258 анализа в изолирана среда с фалшиви AI кампании, като САЩ се нареждат на второ място в световен мащаб.

Атакуващите използват измамни изтегляния за разпространение на зловреден софтуер и фалшиви покани за събития, за да откраднат достъп до акаунти в Microsoft 365 и Google. В един особено измамен случай се стартира истински инсталатор на Claude, докато скрити процеси крадат бисквитките на сесията на браузъра, което потенциално позволява на атакуващите да получат достъп до бизнес акаунти, без да задействат ново запитване за многофакторно удостоверяване (MFA).

Разследвайте пробата със зловреден софтуер, имитиращ Claude

За да защитите вашата организация: Одобрявайте доверени AI приложения, ограничавайте неоторизираните инсталации и проверявайте неочакваните покани за събития. Използвайте интерактивната изолирана среда (Interactive Sandbox) на ANY.RUN, за да разкривате злонамерени изтегляния и фишинг пренасочвания, което помага за предотвратяване на кражбата на идентификационни данни, намаляване на разходите за разследване и ограничаване на прекъсванията на бизнеса.

3. GeorgeGinx: Фишинг чрез код на устройство е насочен към правителствения, банковия и здравния сектор в САЩ

GeorgeGinx е активна операция от типа „Фишинг като услуга“ (PhaaS), насочена към правителствени, банкови, здравни и ИТ организации в САЩ. Атакуващите злоупотребяват с легитимни споделени връзки на Adobe (Adobe Shared Links), за да пренасочват жертвите към фишинг страници с код на устройство за Microsoft, потенциално получавайки неоторизиран достъп до корпоративни акаунти без кражба на пароли.

За да проучат как GeorgeGinx прикрива фишинг дестинации зад доверени връзки на Adobe, изследователите използваха In-Browser Data Inspection на ANY.RUN за проверка на промените в HTML DOM и HTTP заявките. Разследването разкри и административен панел на сървър за атаки, предоставяйки допълнителна представа за фишинг операцията.

За да защитите вашата организация: Не се доверявайте на връзки за споделяне на документи само въз основа на техния домейн. Използвайте In-Browser Data Inspection на ANY.RUN, за да проверявате скрити пренасочвания, скриптове на страници и HTTP заявки, помагайки на вашия SOC да разкрива фишинг активност зад легитимни услуги и да предотвратява скъпоструващо компрометиране на акаунти.

4. WKLP: Зловреден софтуер деактивира Microsoft Defender, за да получи постоянен отдалечен достъп

WKLP е базиран на Python софтуер за кражба на информация (инфостилър) и троянски кон за отдалечен достъп (RAT), забелязан да атакува правителствени организации в САЩ и Франция. Той краде идентификационни данни, данни от браузъри и чувствителни файлове, като същевременно позволява на атакуващите да поддържат достъп до компрометираните системи.

Зловредният софтуер използва PowerShell и легитимна среда за изпълнение на Python, за да изпълнява зловреден код. WKLP добавя изключения в Microsoft Defender, прекратява процеси за сигурност и създава маскирани правила в защитната стена, отслабвайки защитата на крайните точки и увеличавайки риска от кражба на данни и продължително компрометиране.

За да защитите вашата организация: Активирайте Microsoft Defender Tamper Protection и наблюдавайте за неоторизирани изключения за сигурност, подозрителна активност в PowerShell и промени в защитната стена. Използвайте интерактивната изолирана среда на ANY.RUN (Interactive Sandbox), за да разкриете скритото поведение на зловредния софтуер и автоматично да генерирате подробен отчет от Ниво 1 (Tier 1) с ясни доказателства и препоръки за реакция, помагайки на екипите да овладеят заплахите по-бързо и да намалят скъпоструващото възстановяване след инциденти.

5. Mir0Auth: Кражбата на токени за Microsoft 365 излага на риск корпоративните акаунти в САЩ

Mir0Auth е фишинг комплект, насочен към потребители на Microsoft 365, като се наблюдава значителна активност срещу организации в САЩ. Той злоупотребява с легитимното удостоверяване чрез код на устройство (Device Code authentication), за да краде токени за достъп и да компрометира корпоративни акаунти, без да се изискват откраднати пароли.

Атаката започва с фишинг имейли, съдържащи злонамерени PDF прикачени файлове, които пренасочват жертвите към фалшиви страници на DocuSign. Изследователите от ANY.RUN разкриха обфускирани скриптове и скрити заявки за удостоверяване, използвани за получаване на токени за Microsoft 365, което потенциално дава на атакуващите достъп до чувствителни бизнес комуникации и данни.

За да защитите вашата организация: Наблюдавайте за подозрително удостоверяване чрез код на устройство и отменяйте компрометираните сесии в Microsoft 365. Поддържайте системите за откриване актуализирани с нови злонамерени URL адреси и домейни от реални разследвания чрез потоците с разузнавателни данни за заплахи на ANY.RUN (Threat Intelligence Feeds), за да идентифицирате по-рано свързана фишинг активност и да ограничите риска от превземане на акаунти.

Как предприятията в САЩ могат да намалят киберриска без увеличаване на разходите за SOC

Атаките през октомври показват колко бързо една фишинг връзка, злонамерено изтегляне или компрометиран акаунт могат да доведат до финансови загуби, кражба на данни и прекъсване на дейността. За директорите по информационна сигурност (CISO) приоритетът е да се намали излагането на тези рискове, без да се добавя допълнителен натиск върху вече претоварените екипи по сигурността.

ANY.RUN помага на предприятията да подобрят ефективността на своя център за операции по сигурността (SOC) и да извлекат повече стойност от съществуващите си инвестиции в сигурността:

• 94% по-бърза първоначална оценка на заплахите (триаж): Бързо идентифицирайте злонамерената активност и съберете доказателствата, необходими за вземане на информирани решения за овладяване на заплахата.
• 21 минути по-кратко средно време за реакция (MTTR) на инцидент: Овладявайте атаките по-скоро, ограничавайки възможностите за кражба на данни, неоторизиран достъп и прекъсване на дейността.
• 30% по-малко ескалации от Ниво 1 към Ниво 2 (Tier 1-to-Tier 2): Разрешавайте повече инциденти на първо ниво, освобождавайки старшите специалисти по сигурността да се фокусират върху сложни заплахи.
• 30% уникални злонамерени индикатори за компрометиране (IOC): Пренесете индикаторите за заплахи, открити при разследванията в изолираната среда на клиентите на ANY.RUN, директно във вашите съществуващи системи за сигурност, помагайки за откриването на злонамерена инфраструктура, която други източници на разузнавателни данни може да пропуснат.

Тези подобрения позволяват на ръководителите по сигурността да се справят с нарастващия обем заплахи със съществуващите ресурси, да контролират разходите за разследване и да намалят потенциалното въздействие на една успешна атака.

Защитете бизнеса си от скъпоструващи пробиви в сигурността, без да увеличавате разходите за SOC.

Осигурете на вашия SOC поведенческите доказателства и контекста за заплахите, за да действа по-бързо.