SkyW4lker
Az ANY.RUN kutatása szerint a SkyW4lker x365 Sentinel nevű adathalász eszközkészlet a Microsoft 365 vállalati felhasználóit célozza, többek között az Egyesült Államokban és Európában. A támadás a Microsoft szabályos eszközkódos hitelesítési folyamatával él vissza, így a támadók a felhasználó jelszavának megszerzése és a többfaktoros hitelesítés technikai feltörése nélkül is hozzáférést kaphatnak a vállalati fiókokhoz.
A támadás jellemzően jelszóval védett PDF-, Word- vagy Excel-mellékletet tartalmazó adathalász levéllel kezdődik. A dokumentum szerződésre, számlára vagy üzleti ajánlatra hivatkozik, majd CAPTCHA-ellenőrzésen és esetenként legitim szolgáltatásokra épülő átirányításokon keresztül egy megtévesztő oldalra vezeti az áldozatot.
A felhasználót ezután arra kérik, hogy egy támadó által megadott eszközkódot írjon be a Microsoft valódi bejelentkezési oldalán. Ha jóváhagyja a folyamatot, a támadó hozzáférési tokenhez juthat, amellyel a megszerzett jogosultságoknak megfelelően vállalati levelekhez és dokumentumokhoz férhet hozzá. A PHP-alapú háttérrendszer és az elrejtett JavaScript-kód követi az áldozat földrajzi helyzetét, valamint rendszeresen ellenőrzi a hitelesítés állapotát.
Az ANY.RUN 618 kapcsolódó sandboxelemzést azonosított 2026 júniusa és október 21. között. A havi elemzések száma júniusban 20, szeptemberben már 200 volt. A minták jelentős része technológiai, feldolgozóipari és kormányzati szervezetektől érkezett.
A kutatók nagy bizonyossággal közös fejlesztőhöz kötik a SkyW4lkert és a korábban megjelent Gabagool adathalász eszközkészletet, mivel JavaScript-moduljaik, URL-mintáik és infrastruktúrájuk részben azonos.
