Кража пароля больше не обязательна, чтобы захватить рабочую учётную запись. В кампании Skyw4lker злоумышленники используют легитимный процесс авторизации устройств Microsoft: жертву убеждают подтвердить запрос, который инициировал сам атакующий. В результате тот может получить токены Microsoft 365 и доступ к ресурсам скомпрометированной учётной записи.
По данным Центра жалоб на интернет-преступления ФБР (FBI Internet Crime Complaint Center, IC3), в 2024 году поступило 193 407 жалоб на фишинг и подмену личности. В 2025 году ФБР зарегистрировало более миллиона жалоб на интернет-преступления, а заявленный ущерб достиг 20,9 млрд долларов — на 26% больше, чем годом ранее. Эти цифры дают представление о масштабе угрозы, на фоне которой разворачиваются кампании вроде Skyw4lker.
Сценарий начинается с деловой переписки и защищённого паролем документа. Его выдают за контракт или предложение об оказании услуг. Для сотрудника, который регулярно получает договоры от поставщиков, документы о закупках или технические задания, такое письмо может выглядеть вполне привычно.
Ссылка из документа ведёт на страницу, размещённую на
Именно легитимность самого процесса усложняет расследование. В журналах может появиться действительное событие входа, которое само по себе не объясняет, почему пользователь прошёл авторизацию и кто её инициировал. Чтобы восстановить цепочку, нужно связать исходный документ с действиями в браузере, перенаправлениями, инфраструктурой кампании и событиями аутентификации.
В инфраструктуре Skyw4lker аналитики обнаружили обфусцированный JavaScript и PHP-бэкенд. Сервер создаёт сессии жертв, собирает сведения, включая IP-адрес и геолокацию, и многократно опрашивается, пока не завершится процесс авторизации. Статический просмотр документа может показать начальный адрес, но не раскрывает, что происходит после перехода по ссылке. Для этого приходится наблюдать исполнение JavaScript, сетевые обращения и дальнейшие перенаправления.
Interactive Sandbox от позволяет запускать и исследовать подозрительные документы, файлы и ссылки в изолированной среде. В анализе Skyw4lker такой подход помогает увидеть всю цепочку и собрать URL-адреса, домены, IP-адреса, сетевые события, снимки экрана и другие индикаторы компрометации (IOC). сообщает, что результаты могут быть готовы всего за 40 секунд. Компания также заявляет о сокращении нагрузки на аналитиков Tier 1 до 20%: вместо ручного воспроизведения атаки в нескольких инструментах специалисты могут быстрее проверить оповещение, определить масштаб активности и подготовить данные для поиска угроз.
Для сверки индикаторов предлагает Threat Intelligence Feeds (TI Feeds). По данным компании, после проверки туда добавляют 99% уникальных IOC с высокой степенью достоверности. Внутренний анализ показал, что до 30% уникальных вредоносных IOC, выявленных в сессиях Interactive Sandbox, уже встречались компании и присутствовали в TI Feeds. Если такой индикатор появляется в телеметрии клиента, его можно сопоставить с имеющимися данными до ручного изучения образца. заявляет, что TI Feeds могут сократить среднее время реагирования (MTTR) на 21 минуту.
Threat Intelligence Lookup (TI Lookup) помогает изучать историю подозрительного домена, IP-адреса или URL и проверять, встречались ли они в других вредоносных событиях. Threat Intelligence Reports (TI Reports) связывают индикаторы с кампаниями, инфраструктурой, техниками и наблюдаемым поведением. Такой контекст позволяет заметить общую инфраструктуру между разными инцидентами, которая теряется при разборе отдельных оповещений.
Skyw4lker нацелена прежде всего на организации США в сферах здравоохранения, производства и технологий. Доступ к Microsoft 365 может открыть злоумышленникам переписку, интеллектуальную собственность, операционные сведения и данные, защищённые отраслевыми требованиями. Поэтому после обнаружения подозрительного документа важно проверить не только устройство отправившего жалобу сотрудника, но и историческую телеметрию организации.
Результаты одного расследования можно использовать для поиска похожей активности у других пользователей или клиентов. Например, MSSP, обнаруживший подозрительный контракт у американского производителя, может проверить связанные с Skyw4lker индикаторы в средах остальных заказчиков. Внутренняя SOC-команда может сделать то же самое после жалобы сотрудника на фишинговый документ. Для передачи и применения данных поддерживает API/SDK, STIX/TAXII, SIEM, TIP и XDR-интеграции. Компания заявляет, что такой подход помогает обнаружить до 58% больше угроз.
Skyw4lker показывает, почему расследование нельзя заканчивать на просмотре вложения или проверке события входа. Документ, браузерная активность, авторизация и инфраструктура должны рассматриваться как части одной цепочки. Тогда отдельный инцидент даёт материал для поиска связанных атак и помогает защищать не только одного пользователя, но и всю организацию или клиентскую сеть MSSP.
Изображение носит иллюстративный характер
По данным Центра жалоб на интернет-преступления ФБР (FBI Internet Crime Complaint Center, IC3), в 2024 году поступило 193 407 жалоб на фишинг и подмену личности. В 2025 году ФБР зарегистрировало более миллиона жалоб на интернет-преступления, а заявленный ущерб достиг 20,9 млрд долларов — на 26% больше, чем годом ранее. Эти цифры дают представление о масштабе угрозы, на фоне которой разворачиваются кампании вроде Skyw4lker.
Сценарий начинается с деловой переписки и защищённого паролем документа. Его выдают за контракт или предложение об оказании услуг. Для сотрудника, который регулярно получает договоры от поставщиков, документы о закупках или технические задания, такое письмо может выглядеть вполне привычно.
Ссылка из документа ведёт на страницу, размещённую на
sites[.]google[.]com, а затем — к процессу авторизации Microsoft, описанному в анализе как страница входа Microsoft 365. Задача атакующих не в том, чтобы безупречно скопировать дизайн Microsoft. Достаточно склонить человека завершить настоящий запрос на авторизацию устройства, ранее запущенный злоумышленником. После подтверждения атакующий может получить токены, связанные с учётной записью. Именно легитимность самого процесса усложняет расследование. В журналах может появиться действительное событие входа, которое само по себе не объясняет, почему пользователь прошёл авторизацию и кто её инициировал. Чтобы восстановить цепочку, нужно связать исходный документ с действиями в браузере, перенаправлениями, инфраструктурой кампании и событиями аутентификации.
В инфраструктуре Skyw4lker аналитики обнаружили обфусцированный JavaScript и PHP-бэкенд. Сервер создаёт сессии жертв, собирает сведения, включая IP-адрес и геолокацию, и многократно опрашивается, пока не завершится процесс авторизации. Статический просмотр документа может показать начальный адрес, но не раскрывает, что происходит после перехода по ссылке. Для этого приходится наблюдать исполнение JavaScript, сетевые обращения и дальнейшие перенаправления.
Interactive Sandbox от позволяет запускать и исследовать подозрительные документы, файлы и ссылки в изолированной среде. В анализе Skyw4lker такой подход помогает увидеть всю цепочку и собрать URL-адреса, домены, IP-адреса, сетевые события, снимки экрана и другие индикаторы компрометации (IOC). сообщает, что результаты могут быть готовы всего за 40 секунд. Компания также заявляет о сокращении нагрузки на аналитиков Tier 1 до 20%: вместо ручного воспроизведения атаки в нескольких инструментах специалисты могут быстрее проверить оповещение, определить масштаб активности и подготовить данные для поиска угроз.
Для сверки индикаторов предлагает Threat Intelligence Feeds (TI Feeds). По данным компании, после проверки туда добавляют 99% уникальных IOC с высокой степенью достоверности. Внутренний анализ показал, что до 30% уникальных вредоносных IOC, выявленных в сессиях Interactive Sandbox, уже встречались компании и присутствовали в TI Feeds. Если такой индикатор появляется в телеметрии клиента, его можно сопоставить с имеющимися данными до ручного изучения образца. заявляет, что TI Feeds могут сократить среднее время реагирования (MTTR) на 21 минуту.
Threat Intelligence Lookup (TI Lookup) помогает изучать историю подозрительного домена, IP-адреса или URL и проверять, встречались ли они в других вредоносных событиях. Threat Intelligence Reports (TI Reports) связывают индикаторы с кампаниями, инфраструктурой, техниками и наблюдаемым поведением. Такой контекст позволяет заметить общую инфраструктуру между разными инцидентами, которая теряется при разборе отдельных оповещений.
Skyw4lker нацелена прежде всего на организации США в сферах здравоохранения, производства и технологий. Доступ к Microsoft 365 может открыть злоумышленникам переписку, интеллектуальную собственность, операционные сведения и данные, защищённые отраслевыми требованиями. Поэтому после обнаружения подозрительного документа важно проверить не только устройство отправившего жалобу сотрудника, но и историческую телеметрию организации.
Результаты одного расследования можно использовать для поиска похожей активности у других пользователей или клиентов. Например, MSSP, обнаруживший подозрительный контракт у американского производителя, может проверить связанные с Skyw4lker индикаторы в средах остальных заказчиков. Внутренняя SOC-команда может сделать то же самое после жалобы сотрудника на фишинговый документ. Для передачи и применения данных поддерживает API/SDK, STIX/TAXII, SIEM, TIP и XDR-интеграции. Компания заявляет, что такой подход помогает обнаружить до 58% больше угроз.
Skyw4lker показывает, почему расследование нельзя заканчивать на просмотре вложения или проверке события входа. Документ, браузерная активность, авторизация и инфраструктура должны рассматриваться как части одной цепочки. Тогда отдельный инцидент даёт материал для поиска связанных атак и помогает защищать не только одного пользователя, но и всю организацию или клиентскую сеть MSSP.
