Οι σύγχρονες εκστρατείες phishing έχουν καταφέρει να παραβιάζουν εταιρικούς λογαριασμούς χωρίς να βασίζονται απαραίτητα στην παραδοσιακή κλοπή διαπιστευτηρίων. Οι επιτιθέμενοι καταχρώνται νόμιμες υπηρεσίες cloud, μηχανισμούς ταυτοποίησης και έμπιστες επιχειρηματικές ροές εργασίας, αφήνοντας ελάχιστα ίχνη πίσω τους.
Η ανάλυση της ANY.RUN για την εκστρατεία «Skyw4lker» αποκαλύπτει πώς στοχοποιούνται αμερικανικοί οργανισμοί στους τομείς της κατασκευής, της τεχνολογίας και της υγείας. Οι εισβολείς χρησιμοποιούν έγγραφα με επιχειρηματικό περιεχόμενο, υποδομές της Google και ροές ταυτοποίησης της Microsoft για να πετύχουν την παραβίαση.
Πώς λειτουργεί η μέθοδος Device Code Phishing
Η επίθεση ξεκινά με ένα δέλεαρ που μοιάζει με συνηθισμένη επαγγελματική αλληλογραφία. Τα θύματα λαμβάνουν ένα προστατευμένο με κωδικό έγγραφο, το οποίο παρουσιάζεται ως σύμβαση ή πρόταση παροχής υπηρεσιών.
Αντί να συλλέξει διαπιστευτήρια μέσω μιας πλαστής σελίδας σύνδεσης, ο επιτιθέμενος εκκινεί μια νόμιμη ροή εξουσιοδότησης συσκευής και πείθει το θύμα να την ολοκληρώσει. Στη συνέχεια, το θύμα οδηγείται σε μια σελίδα που φιλοξενείται στο sites[.]google[.]com και καταλήγει στη ροή ταυτοποίησης της Microsoft.
Μόλις ολοκληρωθεί η διαδικασία, ο εισβολέας αποκτά πρόσβαση στα παραγόμενα διακριτικά πρόσβασης (tokens) του Microsoft 365. Αυτό καθιστά την επίθεση εξαιρετικά δύσκολη στον εντοπισμό, καθώς τα συστήματα ασφαλείας καταγράφουν ένα φαινομενικά έγκυρο συμβάν ταυτοποίησης.
Αντιμετώπιση και σημασία της συμπεριφορικής ανάλυσης
Η στατική επιθεώρηση του αρχικού εγγράφου δεν αρκεί για να αποκαλύψει την πλήρη απειλή. Η κακόβουλη συμπεριφορά αναδύεται μέσα από τον συνδυασμό της δραστηριότητας του περιηγητή, της εκτέλεσης JavaScript και της επικοινωνίας με το σύστημα υποστήριξης (backend).
Για τις ομάδες ασφαλείας, η αντιμετώπιση τέτοιων επιθέσεων απαιτεί εργαλεία όπως τα διαδραστικά sandboxes. Μέσω αυτών, οι αναλυτές μπορούν να εκτελέσουν με ασφάλεια ύποπτα αρχεία και συνδέσμους, να παρακολουθήσουν τις αναδρομολογήσεις και να εξαγάγουν αξιόπιστους δείκτες συμβιβασμού (IOCs).
Η ενσωμάτωση αυτών των ευρημάτων σε ροές πληροφοριών απειλών (TI Feeds) επιτρέπει τον έγκαιρο εντοπισμό παρόμοιων επιθέσεων στο μέλλον.
