Fushata Skyw4lker synon kryesisht organizata në SHBA, veçanërisht në prodhim, teknologji dhe shëndetësi. Sipas analizës së ANY.RUN, sulmuesit shfrytëzojnë dokumente biznesi, infrastrukturë të Google dhe mekanizma legjitimë autentikimi të Microsoft për të komprometuar llogari korporative.
Viktimat marrin një dokument të mbrojtur me fjalëkalim, të paraqitur si kontratë ose propozim shërbimi. Ai i drejton te një faqe në sites[.]google[.]com dhe më pas drejt autentikimit të Microsoft. Në vend që të vjedhin kredencialet përmes një faqeje të rreme hyrjeje, sulmuesit bindin përdoruesin të përfundojë një kërkesë autorizimi pajisjeje që e kanë nisur vetë.
Përfundimi i procesit u mundëson sulmuesve të marrin tokenët e Microsoft 365 dhe të hyjnë në burimet e llogarisë së komprometuar. Autentikimi mund të duket i vlefshëm në regjistrat e sigurisë, duke e vështirësuar dallimin e qëllimit keqdashës vetëm nga të dhënat e identitetit.
Analiza identifikoi JavaScript të maskuar dhe një komponent PHP në server që krijon sesione për viktimat, mbledh adresën IP e vendndodhjen gjeografike dhe kontrollon vazhdimisht përfundimin e autentikimit. Për të rindërtuar sulmin, ekipet e sigurisë duhet të lidhin dokumentin fillestar me aktivitetin në shfletues, ridrejtimet, komunikimet në rrjet dhe infrastrukturën përkatëse.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
