Фишинговый набор SkyW4lker нацелен на Microsoft 365 через код устройства
Фишинговый набор SkyW4lker использует легитимный поток аутентификации Microsoft по коду устройства OAuth, чтобы получать доступ к учётным записям Microsoft 365. Если жертва завершает процесс входа, злоумышленник может получить доступ к её учётной записи даже при включённой многофакторной аутентификации (MFA). В песочницах зафиксировали 618 связанных с набором анализов в период с июня по 21 октября 2026 года.
Распространение и сценарий атаки
Число анализов выросло с 20 в июне до 200 в сентябре. Около 47% отправленных на анализ образцов пришлось на Соединённые Штаты. SkyW4lker нацелен на пользователей в США, Европе и других регионах.
Атака обычно начинается с фишингового письма о договорах, счетах, коммерческих предложениях или конфиденциальных документах. К письму прикреплён защищённый паролем PDF-, DOCX- или XLSX-файл, а пароль указан в самом письме. Ссылка в документе ведёт через страницу с CAPTCHA и в некоторых случаях на страницу, размещённую на легитимном сервисе, например Miro, Google Sites или Zoom. Затем пользователя просят ввести код устройства на подлинной странице аутентификации Microsoft.
Устройство SkyW4lker и связь с Gabagool
Набор использует обфусцированный JavaScript и бэкенд на PHP. Скрипты определяют местоположение посетителей по IP-адресу и периодически обращаются к /session_public.php. В том числе они отправляют запросы с параметром action=start и повторяют вызовы action=poll, чтобы проверять статус аутентификации.
Панель администрирования обнаружили по адресу /admin/index.php. Среди заявленных функций панели есть доступ к Telegram с защитой MFA, статистика посетителей, управление сервером, генерация ссылок и уведомления о посещениях.
У SkyW4lker и Gabagool общие модули JavaScript, шаблоны URL и часть инфраструктуры хостинга. Gabagool, набор инструментов для фишинга и кражи учётных данных, впервые обнаружили в апреле 2026 года. Исследователи с высокой степенью уверенности считают, что оба набора создал один разработчик. При этом общий хостинг не позволяет установить, используют ли их одни и те же операторы. Gabagool перехватывает учётные данные через accounts.php, а SkyW4lker нацелен на аутентификацию по коду устройства через session_public.php.
Для обнаружения этой активности можно отслеживать действия конечной точки и её запросы на запуск и получение данных, анализировать связанные модули JavaScript и шаблоны URL, а также сопоставлять подозрительные электронные письма с неожиданными входами по коду устройства в Microsoft Entra ID. Авторы отчёта рекомендуют ограничивать ненужную аутентификацию по коду устройства с помощью условного доступа (Conditional Access), чтобы снизить подверженность угрозам.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
