Skyw4lker: campanie de phishing prin cod de dispozitiv vizează conturile Microsoft 365 din SUA

O campanie de phishing urmărită sub numele Skyw4lker preia în liniște conturi Microsoft 365 ale unor organizații din Statele Unite, fără să folosească nicio pagină de autentificare falsă. În loc să fure o parolă, atacatorii conving victima să finalizeze o autentificare Microsoft reală, pe care atacatorul a inițiat-o. Rezultatul este un token de sesiune valid, emis chiar de Microsoft, ajuns în mâinile unui infractor.

Ce s-a întâmplat

Skyw4lker s-a concentrat pe companii din producție, tehnologie și sănătate, în mare parte din SUA. Momeala este gândită să arate ca o hârtie obișnuită de birou: un document protejat cu parolă, prezentat drept contract, ofertă de servicii sau acord cu un furnizor. În medii în care angajații schimbă zilnic devize, comenzi și documente de achiziție, nimic nu pare ieșit din comun.

Deschiderea documentului trimite victima către o pagină găzduită pe Google Sites, un serviciu legitim care rareori declanșează filtrele web. De acolo, pagina predă utilizatorul unui flux real de autentificare Microsoft și îi cere să introducă un cod scurt pentru a „permite accesul” la document.

Codul este, de fapt, capcana. Atacatorul a inițiat deja o cerere de autorizare prin cod de dispozitiv la Microsoft. Când victima tastează codul în pagina reală Microsoft și aprobă autentificarea, Microsoft emite token-urile de acces și de reîmprospătare pentru contul victimei direct în sesiunea atacatorului. Nicio parolă nu este introdusă într-o pagină de phishing, iar în multe configurații și cerința de MFA este bifată pe parcurs.

În culise, kitul de phishing rulează JavaScript obfuscat și un backend PHP. Acesta creează o sesiune pentru fiecare victimă, înregistrează adresa IP și geolocația și interoghează repetat backend-ul până când Microsoft confirmă că autentificarea s-a încheiat.

În eșantioanele analizate până acum, aproape jumătate dintre trimiteri au venit din Statele Unite, urmate de India, Canada, Regatul Unit și Filipine.

De ce contează

Phishing-ul prin cod de dispozitiv este construit exact pentru organizațiile care au investit deja în MFA și în securitatea identității. Atacul nu trebuie să imite deloc experiența de login Microsoft, pentru că login-ul este real. Jurnalele de identitate vor arăta o autentificare reușită și legitimă, adesea cu MFA satisfăcut, iar nimic din evenimentul de sign-in nu o semnalează ca fiind malițioasă.

De aceea este greu de prins doar din telemetria de identitate. Reconstituirea a ceea ce s-a întâmplat înseamnă legarea e-mailului, a documentului, a redirecționării prin Google Sites, a fluxului de autentificare și a infrastructurii atacatorului într-o singură cronologie. Inspecția statică a documentului dezvăluie doar URL-ul de pornire. Comportamentul malițios apare abia când pagina rulează într-un browser.

Pentru un furnizor de servicii medicale sau pentru un producător, o căsuță Microsoft 365 compromisă poate expune date ale pacienților, proprietate intelectuală, comunicări cu furnizorii și acel context intern care face mult mai credibile fraudele ulterioare cu facturi sau un atac ransomware.

Phishing-ul rămâne printre cele mai raportate categorii de infracțiuni informatice din SUA, iar pierderile raportate cresc an de an. Skyw4lker arată că tehnica evoluează mai repede decât majoritatea programelor de conștientizare.

Ce este de făcut

• Restricționați fluxul prin cod de dispozitiv. În Microsoft Entra ID, folosiți o politică de Conditional Access pe fluxurile de autentificare pentru a bloca sign-in-urile prin device code pentru utilizatorii care nu au nevoie de ele. Majoritatea angajaților de birou nu au.
• Întăriți Conditional Access. Cereți dispozitive conforme sau hybrid-joined pentru accesul la Microsoft 365 și limitați autentificările din țări neașteptate, astfel încât un token obținut prin acest flux să fie mult mai puțin util.
• Căutați în jurnalele de sign-in. Filtrați evenimentele Entra după protocolul de autentificare „Device Code” și verificați fiecare rezultat, mai ales cele urmate de o locație nouă, reguli noi de mailbox sau consimțăminte pentru aplicații.
• Verificați telemetria web și de e-mail pentru atașamente „contract” sau „ofertă” protejate cu parolă și pentru redirecționări către pagini Google Sites care duc la o autentificare Microsoft.
• Reacționați rapid la suspiciune. Revocați token-urile de reîmprospătare, resetați parola și verificați regulile de redirecționare din mailbox și aplicațiile înregistrate pentru contul afectat.
• Spuneți utilizatorilor că Microsoft nu le va cere niciodată să tasteze un cod într-o pagină de sign-in pentru a deschide un document. O cerere de cod este un semnal de alarmă, nu o formalitate.

Lacune de configurare precum un flux device code lăsat deschis sau o acoperire incompletă a Conditional Access sunt exact ceea ce caută echipa noastră de penetration testing atunci când evaluează un tenant Microsoft 365, astfel încât o campanie ca Skyw4lker să dea de o ușă închisă, nu de un sign-in deschis.