Chiến dịch Skyw4lker: Lừa đảo qua mã thiết bị nhắm vào tổ chức Mỹ
"The Skyw4lker campaign targets U.S. organizations using device code phishing, leveraging legitimate Microsoft authentication flows via Google-hosted infrastructure. Instead of stealing credentials, attackers initiate legitimate authentication requests, gaining access to Microsoft 365 tokens. Analysis by ANY.RUN highlights the importance of behavioral analysis and tracing the full authentication flow to identify and detect these attacks."
Chiến dịch Skyw4lker thể hiện một mối đe dọa đáng kể do khả năng bỏ qua MFA và sử dụng các luồng xác thực hợp pháp. Việc phân tích hành vi là cần thiết để phát hiện các cuộc tấn công này.
Các tổ chức có thể gặp phải mất mát dữ liệu và gián đoạn hoạt động do quyền truy cập trái phép vào tài khoản Microsoft 365. Việc đào tạo nhân viên và tăng cường giám sát là quan trọng để giảm thiểu rủi ro.
ANY.RUN cho biết chiến dịch Skyw4lker nhắm vào các tổ chức Mỹ bằng cách lừa đảo qua mã thiết bị (device code phishing). Kẻ tấn công sử dụng luồng xác thực Microsoft hợp lệ thông qua cơ sở hạ tầng do Google cung cấp. Thay vì đánh cắp thông tin đăng nhập, chúng kích hoạt yêu cầu xác thực hợp pháp, từ đó có được quyền truy cập vào token Microsoft 365.
Đây là vấn đề đáng quan tâm vì các doanh nghiệp Việt Nam cũng có thể là mục tiêu, đặc biệt là những nơi sử dụng Microsoft 365 và thường xuyên trao đổi tài liệu qua email. Phân tích của ANY.RUN nhấn mạnh tầm quan trọng của phân tích hành vi và theo dõi toàn bộ luồng xác thực để phát hiện các cuộc tấn công này.
Lừa đảo qua mã thiết bị: Thách thức ngày càng tăng
FBI ghi nhận 193.407 khiếu nại về phishing và giả mạo năm 2024, một trong những loại tội phạm internet phổ biến nhất. Năm 2025, số lượng khiếu nại tăng lên hơn 1 triệu, với thiệt hại 20,9 tỷ đô la, tăng 26% so với năm trước.
Kẻ tấn công đang thích ứng với các tổ chức đã đầu tư mạnh vào bảo mật danh tính và MFA (xác thực đa yếu tố).
Lừa đảo qua mã thiết bị là một ví dụ. Thay vì thu thập thông tin đăng nhập qua trang đăng nhập giả mạo, kẻ tấn công có thể kích hoạt luồng ủy quyền thiết bị hợp pháp và thuyết phục nạn nhân hoàn tất nó. Token xác thực thu được sau đó có thể cung cấp quyền truy cập vào tài nguyên của tài khoản bị xâm phạm.
Cách Skyw4lker sử dụng xác thực hợp pháp để xâm phạm tài khoản
Cách chiến dịch Skyw4lker hoạt động
Skyw4lker bắt đầu bằng một mồi nhử được thiết kế để trông giống như thư từ kinh doanh thông thường, theo phân tích của ANY.RUN. Nạn nhân nhận được một tài liệu được bảo vệ bằng mật khẩu, được trình bày dưới dạng hợp đồng hoặc đề xuất dịch vụ. Kịch bản này đáng tin cậy trong môi trường mà nhân viên thường xuyên trao đổi các thỏa thuận của nhà cung cấp, tài liệu mua sắm, công việc và các tệp tương tự.
Từ tài liệu, nạn nhân được chuyển hướng đến một trang được lưu trữ trên sites[.]google[.]com, cuối cùng dẫn đến luồng xác thực Microsoft. Kẻ tấn công không cần tái tạo hoàn hảo trải nghiệm đăng nhập của Microsoft. Bản thân quá trình xác thực có thể hợp lệ; sự lừa dối nằm ở việc thuyết phục nạn nhân hoàn thành yêu cầu xác thực do kẻ tấn công khởi xướng.
Sau khi quá trình hoàn tất, kẻ tấn công có thể lấy quyền truy cập vào token Microsoft 365. Điều này khiến việc đánh giá cuộc tấn công chỉ bằng thông tin xác thực trở nên khó khăn. Tổ chức có thể thấy một sự kiện xác thực hợp lệ mà không ngay lập tức thấy ngữ cảnh độc hại gây ra nó. Việc xác định điều gì đã xảy ra đòi hỏi nhóm bảo mật phải kết nối tài liệu, hoạt động web, luồng xác thực và cơ sở hạ tầng liên quan.
Cơ sở hạ tầng đằng sau trang phishing Skyw4lker
Cơ sở hạ tầng web được sử dụng bởi Skyw4lker cung cấp thêm bằng chứng về hoạt động của chiến dịch. ANY.RUN xác định JavaScript bị che giấu và backend PHP được sử dụng để tạo phiên nạn nhân, thu thập thông tin như địa chỉ IP và vị trí địa lý, đồng thời liên tục thăm dò backend trong khi chờ quá trình xác thực hoàn tất.
Xem phân tích Skyw4lker trong ANY.RUN để xem toàn bộ chuỗi tấn công và các IOC (chỉ số thỏa hiệp) liên quan: https://www.any.run/malware-analysis/skyw4lker-device-code-phishing-campaign-exposed/
Câu hỏi thường gặp
Skyw4lker là gì?
Skyw4lker là một chiến dịch lừa đảo qua mã thiết bị nhắm vào các tổ chức Mỹ, sử dụng luồng xác thực Microsoft hợp lệ để có được quyền truy cập vào tài khoản Microsoft 365.
Lừa đảo qua mã thiết bị hoạt động như thế nào?
Kẻ tấn công kích hoạt yêu cầu xác thực hợp pháp và thuyết phục nạn nhân hoàn tất nó. Token xác thực thu được sau đó được sử dụng để truy cập tài nguyên của tài khoản bị xâm phạm.
Làm thế nào để phát hiện chiến dịch Skyw4lker?
ANY.RUN khuyến nghị phân tích hành vi và theo dõi toàn bộ luồng xác thực để phát hiện các cuộc tấn công này. Việc kết nối tài liệu, hoạt động web, luồng xác thực và cơ sở hạ tầng liên quan là rất quan trọng.
Góc nhìn của Orange Cloud
Theo chúng tôi, chiến dịch Skyw4lker cho thấy kẻ tấn công ngày càng tinh vi trong việc lợi dụng các cơ chế xác thực hợp pháp. Các doanh nghiệp Việt Nam sử dụng Microsoft 365 nên xem xét tăng cường giám sát luồng xác thực và đào tạo nhân viên về các dấu hiệu của lừa đảo qua mã thiết bị. Điều đáng chú ý là việc phân tích hành vi, như ANY.RUN cung cấp, có thể giúp phát hiện các cuộc tấn công này hiệu quả hơn so với các phương pháp truyền thống.