Investigadores de ANY.RUN documentaron Skyw4lker, una campaña de phishing que toma control de cuentas de Microsoft 365 sin robar contraseñas. Ataca principalmente a organizaciones de Estados Unidos en manufactura, tecnología y salud. Importa porque la técnica funciona aunque la empresa tenga MFA (autenticación multifactor) activo, y puede replicarse contra cualquier organización de la región que use Microsoft 365.
El ataque empieza con un documento protegido con contraseña, presentado como un contrato o una propuesta de servicios. El formato resulta creíble en áreas de compras, jurídica o proyectos, donde estos archivos circulan a diario. La contraseña también dificulta que los filtros de correo inspeccionen el contenido. Desde el documento, la víctima llega a una página alojada en Google Sites, un servicio legítimo, y de allí a un flujo de autenticación de Microsoft.
La clave está en el flujo de código de dispositivo, un mecanismo legítimo de Microsoft pensado para equipos sin teclado, como televisores o impresoras. El atacante inicia la solicitud de acceso y obtiene un código. Luego convence a la víctima de ingresarlo en la página real de Microsoft y completar su inicio de sesión, incluido el MFA. Al terminar, Microsoft entrega los tokens de sesión (credenciales temporales que mantienen la sesión abierta) al atacante, no a la víctima. Con ellos puede acceder al correo, archivos y demás recursos de la cuenta.
La infraestructura de la campaña usa JavaScript ofuscado y un servidor en PHP. Este registra la sesión de cada víctima, recoge su dirección IP y ubicación, y consulta de forma repetida si la autenticación ya se completó. Para los equipos de seguridad, el problema es la visibilidad: los registros de identidad muestran un inicio de sesión válido. Solo al correlacionar el documento, la navegación, el flujo de autenticación y la infraestructura se revela el contexto malicioso.
No existe un parche, porque no se explota una falla sino una función legítima. Las mitigaciones recomendadas son concretas. Primero, bloquear el flujo de código de dispositivo mediante políticas de acceso condicional en Microsoft Entra ID, y permitirlo solo para los usuarios o equipos que realmente lo necesiten. Segundo, revisar los registros de inicio de sesión en busca de autenticaciones por código de dispositivo inesperadas. Tercero, ante una sospecha, revocar las sesiones activas del usuario, no solo cambiar su contraseña, porque los tokens robados siguen siendo válidos. Por último, capacitar al personal: nadie debe ingresar un código de Microsoft que no haya solicitado.
Qué significa para tu empresa: Esta semana conviene verificar si tu tenant de Microsoft 365 permite el flujo de código de dispositivo para todos los usuarios y restringirlo si no se usa. Además, un inicio de sesión válido puede ser un ataque, así que la detección depende de correlacionar correo, navegación e identidad. En Ingeniería Telemática vemos que un servicio de monitoreo 24/7 con SOC es lo que permite detectar estas autenticaciones anómalas y revocar las sesiones antes de que el atacante extraiga información.
Fuente original: The Hacker News — ver artículo →