Кампания CaptiveCrunch: кража учётных данных Microsoft 365 и спор об атрибуции

Атрибуция вызвала разногласия. Microsoft связала кампанию с группировкой Storm-2945, входящей, по её оценке, в состав Midnight Blizzard. Второй отчёт, подготовленный ReliaQuest, относит ту же активность к APT28, известной также как Fancy Bear и Forest Blizzard. Ошибка в определении авторства вполне возможна. Однако APT28 прежде замечали в схожих манипуляциях с сетевым трафиком. Если вывод Microsoft верен, две разные группировки применяют одинаковые приёмы. Такой поворот указывает на обмен тактиками между государственными командами.

По данным Microsoft, заражение строится на социальной инженерии, а не на технических уязвимостях. Первый приём - поддельная проверка того, что посетитель не робот. Вместо картинки с заданием страница предлагает скопировать и вставить в системное окно готовую команду. Человек думает, что подтверждает свою человечность, а на деле запускает загрузку вредоносного файла. Второй приём - фишинг с кодом привязки устройства. Жертву убеждают ввести код, который соединяет её рабочую учётную запись с устройством злоумышленника. Такой доступ сохраняется даже после смены пароля. Третий приём - перехват сеанса по схеме "человек посередине". Посетитель видит точную копию страницы входа Microsoft и сам передаёт логин и пароль. Отдельно упоминается фишинг кодов авторизации OAuth, то есть разрешений, которые пользователь выдаёт сторонним приложениям на доступ к своим данным.

Для кампании подготовили широкую инфраструктуру. В неё вошли серверы, имитирующие страницы входа, узлы для перенаправления трафика и серверы разрешения доменных имён. Последние незаметно переводят посетителя на нужный адрес. Управление заражёнными устройствами шло через отдельные панели, включая командно-контрольный сервер ChocoShell. Несколько доменов кампании зарегистрировали на один и тот же почтовый ящик. Это подтверждает их общее происхождение. Часть узлов при этом выполняла сразу две роли, совмещая перенаправление и разрешение адресов.

Приманки выглядели как приглашения на конференции. Одна страница ссылалась на мероприятие словацкого аналитического центра GLOBSEC. Другая - на событие Университетского колледжа Лондона. Оба текста просили гостя подтвердить личность через корпоративную учётную запись Microsoft. Такая просьба заранее готовит человека к тому, что у него спросят пароль. Аналитические центры, вузы и госструктуры хранят чувствительные данные и часто пользуются единым входом в облачные сервисы. Один из доменов-приманок не фигурировал в первом отчёте. Его нашли при анализе истории доменных записей, сопоставив старые данные о переадресации.

Отдельного внимания заслуживает поведение части серверов. Один домен несколько месяцев направлял посетителей на официальную страницу входа Microsoft. Затем настройки изменились, и переходы стали вести на шуточный музыкальный видеоролик. Так поступает инструмент Evilginx, который применяют в фишинговых атаках: по умолчанию он отправляет нежелательных посетителей по развлекательной ссылке. Скорее всего, инфраструктуру в тот момент ещё настраивали. Другие серверы выдавали себя за редко встречающиеся служебные страницы, в том числе за панель обучения защитников. Microsoft отдельно отметила, что злоумышленники задействовали искусственный интеллект для значительной части операций. На это косвенно указывает стиль поддельных страниц.

Последствия для организаций ощутимы. Получив доступ к почте и документам, злоумышленник читает переписку, пишет от имени сотрудника и продвигается вглубь сети. Для бизнеса это риск утечки коммерческой тайны. Для госструктур и научных центров - потеря служебной информации и срыв проектов. Защита опирается на базовые меры: двухфакторная аутентификация, аппаратные ключи вместо одноразовых кодов, контроль над запросами приложений на доступ к данным. Полезно также ограничить выдачу разрешений сторонним сервисам и напоминать сотрудникам, что настоящая страница входа не появляется по ссылке из письма.

В начале августа 2026 года разбор продолжился. Появились сведения ещё о двух узлах с панелью управления CloudSync Console, которую упоминала Microsoft. Расхождения в атрибуции и скорость, с которой находятся новые серверы, отражают общую картину. Государственные группировки и криминальные команды всё чаще используют один и тот же набор инструментов. Подготовка инфраструктуры ускоряется за счёт автоматизации и генеративных моделей. Организациям стоит исходить из того, что поддельная страница входа может выглядеть безупречно, и строить защиту без опоры на внешние признаки.