Cảnh báo chiến dịch phishing ‘Skyw4lker’: Kỹ thuật lạm dụng xác thực hợp lệ để tấn công doanh nghiệp

Các chiến dịch phishing hiện đại đang dần thay đổi phương thức, không còn phụ thuộc vào việc đánh cắp thông tin đăng nhập (credential theft) truyền thống. Thay vào đó, kẻ tấn công tận dụng các dịch vụ cloud hợp lệ, cơ chế xác thực và quy trình làm việc kinh doanh đáng tin cậy để xâm nhập tài khoản doanh nghiệp mà không để lại nhiều dấu vết.

Chiến dịch Skyw4lker là gì?

Theo phân tích từ ANY.RUN, chiến dịch Skyw4lker đang tập trung nhắm vào các lĩnh vực sản xuất, công nghệ và y tế tại Mỹ. Kẻ tấn công sử dụng các tài liệu mang chủ đề kinh doanh, hạ tầng lưu trữ trên Google và luồng xác thực của Microsoft để chiếm quyền truy cập tài khoản.

Thay vì sử dụng trang đăng nhập giả mạo, Skyw4lker thực hiện kỹ thuật device code phishing. Kẻ tấn công khởi tạo một luồng xác thực thiết bị hợp lệ và lừa nạn nhân hoàn tất quy trình đó. Kết quả là kẻ tấn công thu được các token xác thực hợp lệ, cho phép truy cập vào các tài nguyên của tài khoản bị xâm nhập mà không cần mật khẩu.

Cách thức vận hành

Nạn nhân thường nhận được một tài liệu được bảo vệ bằng mật khẩu, giả dạng là hợp đồng hoặc đề xuất dịch vụ. Khi mở tài liệu, nạn nhân được điều hướng đến một trang web trên sites.google.com, sau đó dẫn đến luồng xác thực Microsoft 365. Vì quá trình xác thực diễn ra trên nền tảng chính chủ, các hệ thống giám sát identity truyền thống rất khó phát hiện ra sự bất thường nếu chỉ dựa vào sự kiện đăng nhập.

Tầm quan trọng của phân tích hành vi

Việc kiểm tra tĩnh (static inspection) tài liệu độc hại thường không đủ để hiểu toàn bộ chuỗi tấn công. Các chuyên gia bảo mật cần sử dụng interactive sandbox để theo dõi hành vi thực tế, bao gồm:

• Quan sát các chuyển hướng (redirects) và hoạt động xác thực.
• Kiểm tra các đoạn mã JavaScript bị làm rối (obfuscated) và giao tiếp với backend PHP.
• Trích xuất các chỉ số IOC (Indicators of Compromise) như IP, domain và URL để đưa vào hệ thống phát hiện sớm.

Việc kết hợp giữa sandbox tương tác và các nguồn Threat Intelligence (TI Feeds) giúp đội ngũ SOC giảm tải công việc thủ công, đồng thời rút ngắn thời gian phản ứng với các mối đe dọa mới. Bằng cách biến mỗi cuộc điều tra thành dữ liệu tình báo, các tổ chức có thể chủ động tìm kiếm các hoạt động liên quan trên toàn bộ môi trường mạng của mình, thay vì chỉ xử lý từng sự cố đơn lẻ.

Trong bối cảnh các cuộc tấn công ngày càng tinh vi, việc hiểu rõ ngữ cảnh đằng sau mỗi cảnh báo là chìa khóa để bảo vệ tài sản trí tuệ và dữ liệu nhạy cảm của doanh nghiệp.

Nguồn tham khảo: The Hacker News