De phishingcampagne Skyw4lker buit de device code flow van Microsoft 365 uit om Amerikaanse bedrijven in de maakindustrie, technologie en gezondheidszorg binnen te dringen, zonder dat slachtoffers hun wachtwoord op een nepinlogpagina invoeren. Beveiligingsbedrijf ANY.RUN bracht de campagne in kaart.
Slachtoffers krijgen een wachtwoordbeveiligd document toegestuurd dat zich voordoet als contract of dienstenvoorstel. Een link in het document leidt naar een pagina op Google Sites, die vervolgens doorverwijst naar een echte Microsoft-authenticatiestroom. Daarin schuilt de truc: de aanvaller start zelf een legitieme autorisatieaanvraag via de device code flow en misleidt het slachtoffer om die af te ronden. Omdat er geen nagemaakte inlogpagina in het spel is, ziet de authenticatie-gebeurtenis er voor beveiligingssystemen volledig legitiem uit. Zodra het slachtoffer de code bevestigt, krijgt de aanvaller geldige Microsoft 365-tokens in handen en daarmee toegang tot mail, bestanden en andere bedrijfsdiensten, zonder dat er een wachtwoord is buitgemaakt.
Achter de lokpagina’s draait geobfusceerd JavaScript, gekoppeld aan een PHP-backend die een sessie opzet, gegevens zoals IP-adres en geolocatie van het slachtoffer verzamelt en vervolgens blijft pollen totdat de authenticatie is afgerond.
ANY.RUN adviseert organisaties om verdachte documenten en links in een interactieve sandbox te analyseren, de volledige aanvalsketen te bekijken in plaats van alleen het eerste document of de eerste link, en de verzamelde indicatoren, zoals domeinen, URL’s en IP-adressen, te gebruiken om historische logs door te zoeken naar andere mogelijk getroffen gebruikers.
Praktisch: Nederlandse organisaties die Microsoft 365 gebruiken, doen er goed aan te checken of en hoe de device code flow binnen hun Entra ID-omgeving is toegestaan. Waar die inlogmethode niet nodig is voor legitieme toepassingen, zoals apparaten zonder browser, kan ze worden beperkt via voorwaardelijke toegang. Daarnaast blijft het advies simpel: wees terughoudend met wachtwoordbeveiligde documenten van onbekende afzenders, zeker wanneer die uiteindelijk naar een inlogscherm doorverwijzen.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.