В мире информационной безопасности продолжается эволюция фишинговых атак, смещающаяся от простого сбора логинов и паролей к более изощрённым методам компрометации. На смену поддельным страницам входа приходят схемы, злоупотребляющие доверенными механизмами авторизации, что значительно усложняет их обнаружение как для пользователей, так и для систем защиты. Одной из таких опасных тенденций стала активная кампания, детально описанная исследователями, в которой злоумышленники маскируются под популярные облачные сервисы хранения файлов и платформы для электронных подписей и документооборота.
Описание
В отличие от традиционного фишинга, эта атака не направлена на кражу учётных данных. Вместо этого она злоупотребляет легитимным потоком Device Code (код устройства) в рамках протокола OAuth, используемого Microsoft для авторизации устройств с ограниченными возможностями ввода, например, Smart TV или игровых консолей. Жертве отображается верификационный код с инструкцией вставить его на настоящей странице входа Microsoft - microsoft.com/devicelogin. Пока пользователь честно выполняет эти шаги на легитимном ресурсе корпорации, сервер злоумышленника в фоновом режиме перехватывает OAuth-токены, возвращаемые Microsoft после успешной аутентификации. Эти токены предоставляют прикладной уровень доступа к учётной записи жертвы, открывая долгосрочный доступ к почте, файлам и удостоверению личности без необходимости знать пароль.
Атака начинается с доставки персонализированных фишинговых ссылок по электронной почте. Перейдя по ссылке, жертва загружает страницу, которая изначально показывает лишь легитимный брендинг имитируемого сервиса. Однако в фоне браузер расшифровывает обфусцированный полезный груз, используя встроенный ключ, после чего на странице отображается пользовательский код и подробные инструкции. Для повышения удобства (и успешности атаки) код часто автоматически копируется в буфер обмена. После того как пользователь вставляет код на официальном сайте Microsoft и входит в свою учётную запись, сервер злоумышленника, активно опрашивающий Microsoft, получает долгоживущие токены доступа. Чтобы не вызвать подозрений, страница затем показывает сообщение "Верификация завершена!" и перенаправляет пользователя на легитимный сайт бренда, создавая полную иллюзию успешного выполнения обычной процедуры проверки.
Особую опасность представляют изощрённые техники уклонения и противодействия анализу, встроенные в эту кампанию. Исследователи отметили использование нескольких уровней обфускации, включая доставку полезной нагрузки в виде зашифрованного блока AES-GCM через инфраструктуру Cloudflare Workers, что позволяет обходить статические сканеры контента. Страница реализует продвинутые анти-бот-механизмы: до подтверждения, что посетитель является человеком, контент остаётся невидимым, а сканеры и боты молча перенаправляются на настоящий OneDrive. Для затруднения анализа применяется целый арсенал методов: отключение правого клика, выделения текста и перетаскивания, блокировка "горячих клавиш" для инструментов разработчика, обнаружение активных DevTools с последующим запуском бесконечного цикла отладчика, попытки перехвата функций создания скриншотов и обфускация URL-адреса длинной случайной строкой. Кроме того, при загрузке страницы в фоне происходит эксфильтрация cookies браузера на сервер атакующих.
Полученный токен доступа предоставляет злоумышленникам немедленный доступ к ресурсам, связанным с учётной записью Microsoft жертвы. В зоне риска оказывается корпоративная и личная переписка в Outlook, конфиденциальные файлы в OneDrive, история коммуникаций в Teams, а также удостоверение в Azure Active Directory (служба управления идентификацией и доступом), что может стать трамплином для дальнейших атак внутри корпоративной сети. Масштабы кампании подчёркивают её серьёзность: согласно данным мониторинга, её активность наблюдалась уже в середине февраля 2026 года, и существует как минимум три версии атаки, нацеленные на разные сервисы.
Этот инцидент наглядно демонстрирует, как злоумышленники эксплуатируют сложность современных облачных экосистем и доверие пользователей к официальным доменам. Борьба с подобными атаками требует комплексного подхода, выходящего за рамки обучения пользователей распознаванию поддельных страниц. Специалистам по безопасности необходимо пересматривать политики контроля доступа, уделяя особое внимание мониторингу аномальной активности, связанной с OAuth-токенами, и внедрять решения для анализа поведения пользователей и приложений. В конечном счёте, даже самые совершенные технические ухищрения злоумышленников не отменяют необходимости фундаментальных мер: принципа наименьших привилегий, многофакторной аутентификации и постоянного повышения осведомлённости о новых векторах угроз.
Индикаторы компрометации
