Sió-Informatika Rendszerház

2026 augusztusa jól megmutatta, hogy a vállalati támadási felület egyre kevésbé kizárólag klasszikus malware-ekből vagy sérülékenységekből áll.

A támadók egyre gyakrabban használják ki azokat a rendszereket és folyamatokat, amelyekben a szervezetek eleve megbíznak:

• Microsoft 365 hitelesítési folyamatokat
• legitim távoli menedzsment eszközöket
• üzleti dokumentumokat
• OAuth és device-code hitelesítést
• távoli munkavégzést
• sőt még a munkaerő-felvételi folyamatot is

A közös pont:

👉 a rosszindulatú tevékenység sokszor teljesen legitimnek látszik egészen addig, amíg a teljes támadási lánc össze nem áll.

Mit mutattak meg az augusztusi támadások?

Az egyik legfontosabb trend az identitás és a már hitelesített munkamenetek elleni támadások erősödése.

Egy sikeres támadáshoz sok esetben már nem szükséges újra és újra megszerezni a felhasználó jelszavát.

Ha a támadó ellopja a hitelesített session cookie-t vagy tokent, akkor:

• hozzáférhet a vállalati e-mailekhez;
• cloud fájlokat érhet el;
• más felhasználó nevében kommunikálhat;
• beszállítói és pénzügyi folyamatokat manipulálhat.

👉 Ezért a jelszó megváltoztatása önmagában nem feltétlenül elegendő egy kompromittált Microsoft 365 fiók megtisztításához.

1. Legitim RMM eszközökkel szereztek távoli hozzáférést 46 országban

Az ANY.RUN kutatása egy olyan phishing kampányt mutatott be, amelynek aktivitását 46 országban észlelték.

A megfigyelt támadások körülbelül 45%-a az Egyesült Államokhoz kapcsolódott.

A támadók hitelesnek tűnő üzleti dokumentumokat használtak, például:

• adóügyi értesítéseket;
• számlákat;
• szállítási dokumentumokat;
• PDF-eket;
• társadalombiztosítási értesítéseket;
• ÁFA-val kapcsolatos dokumentumokat.

A cél azonban nem feltétlenül klasszikus malware telepítése volt.

👉 A támadók legitim Remote Monitoring and Management (RMM) programok telepítésére vették rá az áldozatokat.

Az alkalmazott eszközök között szerepelt többek között:

• GoTo Resolve
• LogMeIn Rescue
• ScreenConnect
• ConnectWise
• ITarian

Ez komoly detection problémát okoz, mert ugyanezeket az eszközöket valódi IT-csapatok is használják.

Védekezési tanulság

Nem elegendő egy adott RMM-terméket blokkolni.

A szervezetnek azt kell tudnia felismerni:

👉 miért, mikor és ki telepített távoli menedzsment szoftvert egy eszközre.

2. Hamis IT-munkavállalók: insider threat már a felvételi folyamatban

Az egyik legérdekesebb augusztusi kutatás a Famous Chollima, illetve észak-koreai IT-worker műveletekhez kapcsolódott.

A kutatók egy hamis DeFi startupot hoztak létre, majd gyanús jelentkezőket ténylegesen végigvittek az állásinterjún és az onboarding folyamaton.

A vizsgálat során több módszer is előkerült:

• lopott vagy hamis személyazonosság;
• mule bankszámlák;
• VPN-ek;
• remote desktop megoldások;
• AI-val manipulált dokumentumok.

A valódi veszély azonban csak az onboarding után jelenik meg.

Ha egy hamis személyazonosság átmegy a HR-ellenőrzésen, az illető teljesen legitim módon kaphat:

• GitHub-hozzáférést;
• forráskódot;
• belső rendszereket;
• fejlesztői jogosultságokat;
• szellemi tulajdonhoz való hozzáférést.

👉 Itt nincs szükség exploitálásra. A támadó engedélyt kap.

Védekezési tanulság

A személyazonosság ellenőrzése nem lehet egyszeri HR-folyamat.

A remote workforce esetében érdemes folyamatosan vizsgálni:

• gyanús VPN-használatot;
• váratlan földrajzi helyeket;
• remote-control alkalmazásokat;
• privilegizált fejlesztői hozzáféréseket.

3. Mirage2FA – az MFA után is ellopható a Microsoft 365 munkamenet

A Mirage2FA phishing-as-a-service infrastruktúrához kapcsolódó támadások több mint 4000 amerikai áldozatot érintettek a kutatás szerint.

A támadási technika:

👉 Adversary-in-the-Middle (AiTM)

A támadó közbeékelődik a felhasználó és a valódi Microsoft 365 bejelentkezés közé.

Így megszerezheti:

• felhasználónevet;
• jelszót;
• MFA-kódot;
• hitelesített session cookie-t.

Ez utóbbi a legfontosabb.

Ha a session tokent ellopják, a támadó bizonyos esetekben továbbra is hozzáférhet a fiókhoz, még akkor is, ha a felhasználó:

👉 megváltoztatta a jelszavát.

Mit kell tenni kompromittálás után?

Nem elég:

❌ password reset

Szükséges lehet:

• aktív sessionök visszavonása;
• refresh tokenek invalidálása;
• OAuth hozzáférések ellenőrzése;
• belépési naplók vizsgálata;
• phishing-resistant MFA alkalmazása.

4. SnakeBiteAgent – egy ZIP fájlból teljes távoli hozzáférés

A SnakeBiteAgent egy újonnan elemzett .NET RAT, amely üzleti témájú ZIP archívumokon keresztül terjedt.

Funkciói között szerepel:

• credential theft;
• keylogging;
• webcam hozzáférés;
• mikrofonrögzítés;
• hidden desktop;
• remote command execution.

A malware ráadásul további legitim távoli hozzáférési eszközöket is telepíthet:

• AnyDesk
• MeshCentral

Ez különösen veszélyes, mert a kezdeti malware eltávolítása után is maradhat egy másodlagos távoli hozzáférési csatorna.

👉 Egy fájl megvizsgálásánál ezért nem az a kérdés, hogy „malware-e?”, hanem az, hogy mit csinált már a rendszeren.

5. 3DBlast – egyszerre több Microsoft és Google phishing technika

A 3DBlast azért érdekes, mert nem egyetlen phishing technikára épül.

Képes több módszer között váltani:

• Browser-in-the-Browser (BitB)
• OAuth phishing
• device-code phishing
• AiTM
• DOM relay

A támadók Microsoft 365, Office 365 és Google hitelesítési felületeket utánoztak.

Ez azt jelenti, hogy a phishing detection már nem alapulhat kizárólag:

• URL-en;
• domainen;
• kinézeten;
• egyetlen authentication eseményen.

👉 A teljes authentication flow-t kell vizsgálni.

Mi a közös ezekben a támadásokban?

A legfontosabb közös elem:

👉 a támadók egyre gyakrabban legitim funkciókat használnak rosszindulatú célra.

Nem feltétlenül kell:

• malware;
• zero-day;
• exploit.

Elég lehet:

• legitim RMM;
• valódi Microsoft login;
• érvényes session;
• szabályos OAuth flow;
• tényleges munkavállalói hozzáférés.

Ez jelentősen megnehezíti a hagyományos IOC-alapú védekezést.

Mit kell változtatni a SOC működésén?

1. Friss threat intelligence

A domainek, IP-k és infrastruktúrák gyorsan változnak.

Egyetlen IOC blokkolása ezért egyre kevésbé elegendő.

A cél:

👉 kampányminták felismerése, nem csak konkrét domaineké.

2. Behavior-based elemzés

A statikus verdict sokszor kevés.

Vizsgálni kell:

• mit futtatott a fájl;
• milyen child process indult;
• milyen hálózati kapcsolat jött létre;
• történt-e credential access;
• létrejött-e persistence;
• települt-e remote access software.

3. Identity telemetry

A SOC-nak ugyanolyan fontossággal kell figyelnie az identity réteget, mint az endpointot.

Különösen:

• session tokenek;
• OAuth grantok;
• device-code authentication;
• szokatlan geolocation;
• impossible travel;
• új MFA regisztráció;
• adminisztratív jogosultságváltozás.

4. RMM allowlisting

A szervezetnek pontosan tudnia kell:

👉 mely távoli menedzsment alkalmazások használhatók.

Minden más RMM telepítés vagy futás:

⚠️ high-priority security event lehet.

5. Remote hiring security

A HR és cybersecurity közötti határ is egyre inkább eltűnik.

A remote onboarding során szükség lehet:

• erős identity verificationre;
• eszközazonosításra;
• privilegizált hozzáférések késleltetett kiadására;
• folyamatos viselkedéselemzésre.

Következtetés

2026 augusztusának támadásai egy fontos változást mutatnak:

a támadók már nem feltétlenül próbálják megkerülni a vállalati bizalmi rendszereket – inkább felhasználják őket.

A legitim távoli menedzsment, az érvényes Microsoft 365 session, az OAuth, a vállalati fiók vagy akár egy szabályosan felvett alkalmazott mind támadási eszközzé válhat.

A modern védekezés ezért egyre kevésbé arról szól, hogy:

„rosszindulatú-e ez a fájl vagy IP?”

A fontosabb kérdés:

👉 normális-e ez a viselkedés ebben a kontextusban?

Ez a különbség az egyszerű riasztáskezelés és a valódi, kontextusalapú threat detection között.