В конце августа 2026 года злоумышленники стали рассылать через формы обратной связи на корпоративных сайтах письма от имени закупщика крупной торговой сети. Цель кампании - доступ к рабочим учётным записям Microsoft 365 у сотрудников, которые отвечают на такие обращения. Приманкой служит соглашение о неразглашении. Жертву убеждают подписать документ, а фактически она передаёт злоумышленникам ключи к своей учётной записи.
Описание
Схема стартует с безобидного запроса. Через платформу Salesforce атакующий отправляет в отдел продаж короткое сообщение о возможном сотрудничестве. Ответ приходит через несколько дней: собеседник сообщает, что направит соглашение о неразглашении. Во втором письме - ссылка на файлообменник WeTransfer и пароль к вложению. Вложение оказывается HTML-файлом. Он открывается прямо в браузере и уводит жертву на поддельную страницу.
Кампания выглядит частью более широкой операции. Похожие домены, имитирующие оптовых поставщиков, производителей и складские компании из США, регистрировали весь август 2026 года. Заводили их заранее, за две недели до первого письма, и только для почты: сайтов на них не было. Для регистрации использовали одноразовые адреса, причём один и тот же адрес связан сразу с несколькими такими доменами. Выбор целей показывает, что атакующих интересуют не сами бренды, а их подрядчики и сервисные компании.
По данным eSentire Threat Response Unit, набор инструментов для этой схемы получил имя GhostCode. Разбор выявил три независимых слоя маскировки. Первый - сотни строк мусора. Они раздувают файл и меняют его цифровой отпечаток при каждом запуске кампании. Системы сравнения образцов не находят совпадений. Второй слой - невидимые служебные вставки между отдельными символами. Человек видит обычный текст, а автоматический анализ читает бессмысленный набор знаков. Третий слой - адрес следующей страницы хранится в зашифрованном виде. Он открывается только после ввода пароля из письма. До этого момента ни сканер, ни прокси-сервер не узнают, куда ведёт ссылка.
Дальше начинается самое опасное. Злоумышленники используют штатный механизм Microsoft, придуманный для техники без клавиатуры. Телевизор показывает код, а человек вводит его на телефоне, подтверждая вход. Атакующий выдаёт себя за такое устройство, получает от Microsoft код и показывает его жертве. Жертва вводит код на настоящей странице Microsoft, проходит многофакторную аутентификацию - и разрешает вход не себе, а злоумышленнику. Поддельный сайт с полем для пароля при этом не нужен вовсе.
Перед показом страницы жертва проходит проверку на принадлежность к людям. Сначала срабатывает тест Cloudflare, оформленный как страница почтового сервиса. Затем сервер отсекает программы-роботов и утилиты автоматического анализа по отпечатку клиента. Трафик злоумышленников идёт через сеть домашних прокси-серверов, чтобы адрес и география совпадали с данными жертвы. Основой для размещения страницы послужил поддомен сайта медицинской клиники. Его инфраструктуру, судя по всему, взломали. Отдельные признаки указывают на то, что операторы искали учётные данные владельцев сайтов в утечках и применяли атаку полным перебором. Ссылки они готовят отдельно для каждой кампании, а значит, ведут учёт жертв.
После подтверждения входа скорость реакции впечатляет. За 78 секунд злоумышленники выполнили девять обращений к сервисам Microsoft, зарегистрировали три устройства и подключили одно из них к системе управления мобильными устройствами. Через 32 секунды после входа они получили главный токен обновления. Этот цифровой ключ длительного действия даёт единый вход во все рабочие сервисы компании без повторной проверки. По умолчанию он живёт до 14 дней. Всё это время злоумышленник видит почту, файлы и внутренние приложения. Три устройства регистрируют не случайно: отключение одного не затрагивает остальные. Попутно жертве показывают документ на бланке крупного ритейлера с подписью вымышленного сотрудника. Разговор о соглашении выглядит правдоподобно до самого конца.
Риск затрагивает прежде всего компании, чьи отделы продаж и закупок активно работают через сайты и внешние платформы. Юридические службы тоже под ударом: письмо с соглашением о неразглашении выглядит привычно и подозрений не вызывает. Практические меры не требуют сложных внедрений. Проверяйте адрес отправителя, если переписка началась с формы на сайте. Код, полученный от третьего лица, никогда не вводите на странице входа Microsoft. Требуйте, чтобы доступ к рабочим сервисам зависел от состояния устройства и политик условного доступа. Следите за журналами регистрации новых устройств и отзывайте долгоживущие ключи при первом признаке чужого входа. Отзыв одного ключа без проверки всех выданных доступов оставляет злоумышленнику второй шанс.
Индикаторы компрометации
