A megbízható márkák, a valódi bejelentkezési oldalak és a megszokott üzleti folyamatok több, októberben bemutatott támadási kampányban is szerepet kaptak. Az ANY.RUN összefoglalója szerint a támadók Microsoft 365-fiókokhoz próbáltak hozzáférni, hamis AI-alkalmazásokkal terjesztettek kártevőket, és egyes esetekben a végpontvédelmet is gyengítették.
Az öt kiemelt fenyegetés a SkyW4lker, a GeorgeGinx és a Mir0Auth adathalász készlet, a népszerű AI-szolgáltatásokat utánzó kampányok csoportja, valamint a WKLP információlopó és távoli hozzáférést biztosító kártevő.
A válogatás a szolgáltató kutatási és elemzési tapasztalatait tükrözi. Nem tekinthető az októberben történt összes kibertámadás teljes körű rangsorának, és több közölt adatsor októbernél hosszabb időszakot fed le. Az elemzési beküldések száma nem azonos a sikeres támadások vagy az érintett szervezetek számával. Az ANY.RUN októberi összefoglalója
Mit mutatnak ezek a kampányok a vállalati kockázatokról?
A bemutatott esetek több, egymással összefüggő védelmi problémát emelnek ki.
A támadók egy része a felhasználót veszi rá arra, hogy egy valódi hitelesítési folyamatban engedélyezzen nem kívánt hozzáférést. Más kampányok ismert márkákat, dokumentummegosztást vagy rendezvénymeghívókat használnak ahhoz, hogy a rosszindulatú művelet hétköznapi feladatnak tűnjön.
Az AI-alkalmazások iránti érdeklődés új megtévesztési lehetőséget is ad: egy telepítési útmutatónak látszó oldal parancsfuttatásra ösztönözhet, egy hitelesnek tűnő telepítő pedig információlopó programot tartalmazhat.
A végpont kompromittálása után a támadó a védelmi beállításokat is módosíthatja. Ilyenkor a kártevőfájl eltávolítása önmagában nem feltétlenül állítja helyre a gép biztonságát.
A biztonsági műveleti központoknak, vagyis a SOC-csapatoknak ezért az egyedi riasztások mellett az események kapcsolatát is értékelniük kell: honnan érkezett a hivatkozás, milyen bejelentkezés követte, mely folyamat indult el, és milyen további hozzáférés történt.
1. SkyW4lker: vállalati dokumentum mögé rejtett eszközkódos adathalászat
A SkyW4lker a Microsoft 365 felhasználóit célzó adathalász készlet, amely a Microsoft szabályos eszközkódos hitelesítési folyamatával él vissza.
Az ANY.RUN június és 2026. október 21. között 618 kapcsolódó sandboxelemzést azonosított. Az összefoglaló szerint a beküldések 46%-a az Egyesült Államokból érkezett, a havi elemzésszám pedig a júniusi 20-ról szeptemberre 200-ra emelkedett. Ezek a szolgáltatóhoz érkező elemzések adatai, nem az amerikai áldozatok arányát vagy a kompromittált fiókok számát mutatják. A SkyW4lker részletes kutatása
A támadás szerződésnek, számlának vagy üzleti ajánlatnak álcázott, jelszóval védett dokumentummal kezdődhet. A felhasználó CAPTCHA-ellenőrzésen és köztes oldalakon halad át, majd olyan utasítást kap, hogy egy eszközkódot adjon meg a Microsoft valódi bejelentkezési oldalán.
A valódi bejelentkezés is szolgálhatja a támadót
Az eszközkódos hitelesítés eredeti célja, hogy egy korlátozott beviteli lehetőségekkel rendelkező eszközön vagy alkalmazásban is lehessen bejelentkezni. A felhasználó egy másik eszköz böngészőjében adja meg a kódot, és elvégzi a hitelesítést.
Adathalászat esetén azonban a támadó által kezdeményezett folyamat kódját kapja meg. Ha teljesíti a belépést, a támadó ellenőrzése alatt álló kliens juthat hozzá a kiadott tokenekhez.
Ehhez nem feltétlenül kell ellopni a jelszót vagy technikailag megkerülni az MFA-t. A felhasználó maga teljesítheti az előírt ellenőrzéseket, miközben nem ismeri fel, kinek a hozzáférését hagyja jóvá.
A Microsoft ezért az eszközkódos folyamat lehető legszélesebb korlátozását javasolja, és csak dokumentált, megfelelően védett felhasználási esetekben tartja indokoltnak annak engedélyezését. A Microsoft útmutatója az eszközkódos hitelesítés korlátozásához
Egyetlen indikátor szélesebb infrastruktúrához vezethet
Az ANY.RUN egy SkyW4lker-elemzésből kiindulva a 198.23.223[.]185 IP-címhez kapcsolódó korábbi adatokat vizsgálta. A bemutatott összesítés 203 URL-t, tíz domaint és harminc sandboxelemzést kapcsolt a címhez.
A kutatók technikai hasonlóságokat találtak a Gabagool adathalász készlettel is. A közös fejlesztőre vonatkozó megállapításuk kutatói értékelés, amelyet megosztott komponensekre és infrastruktúra-kapcsolatokra alapoznak. Az ANY.RUN kampányösszefoglalója
Az ilyen összekapcsolás segíthet további vizsgálati nyomok azonosításában. Egy közös IP-cím ugyanakkor önmagában nem bizonyít közös üzemeltetőt, és egy korábban megfigyelt cím aktuális szerepét is ellenőrizni kell.
2. Hamis AI-alkalmazások: telepítésnek álcázott kártevőfuttatás
A második csoportba olyan kampányok tartoznak, amelyek a ChatGPT, a Claude és más népszerű AI-szolgáltatások nevét használják megtévesztésre.
Az ANY.RUN 2026. április 15. és október 5. között 1258 nyilvános sandboxelemzést kapcsolt ezekhez a kampányokhoz. Az Egyesült Államok a beküldések származási adatai alapján a második helyen állt. Ez több hónap megfigyelése, nem kizárólag októberi esetszám. A hamis AI-eszközökről szóló kutatás
A támadók többféle megközelítést használnak:
- hamis letöltési oldalak és módosított telepítők;
- parancs bemásolására és futtatására felszólító telepítési útmutatók;
- üzleti vagy rendezvénymeghívónak álcázott üzenetek;
- Microsoft 365- és Google-belépést utánzó adathalász oldalak.
A részletes kutatás szerint az elemzések legalább 45%-a olyan kampányokhoz tartozott, amelyek parancs bemásolására vették rá a felhasználót. A látszólagos telepítés vagy hibaelhárítás így a támadó kódjának végrehajtásává válhatott.
A veszélyeztetett adatok között vállalati hitelesítési adatok, böngészős munkamenetek, forráskódok és felhőszolgáltatásokhoz tartozó kulcsok is lehetnek. A konkrét következmény a futtatott kártevőtől és az érintett felhasználó hozzáféréseitől függ. Az ANY.RUN technikai elemzése
Ezek az esetek nem bizonyítják, hogy a megszemélyesített AI-szolgáltatásokat feltörték. A márka és a megszokott felhasználói felület itt a megtévesztés eszköze.
A vállalati védelemben ezért fontos az engedélyezett szoftverforrások kijelölése, a telepítési jogok szabályozása és a váratlan parancsfuttatás észlelése. Egy ismeretlen weboldal által kért PowerShell- vagy terminálparancs nem válik megbízhatóvá attól, hogy AI-eszköz telepítésének nevezi magát.
3. GeorgeGinx: adathalászat megbízhatónak tűnő Adobe-hivatkozások mögött
A GeorgeGinx az ANY.RUN leírása szerint szolgáltatásként kínált adathalász művelet, amely amerikai kormányzati, banki, egészségügyi és informatikai szervezeteket céloz.
A támadók legitim Adobe-megosztási hivatkozásokat használnak köztes lépésként, majd Microsoft-eszközkódos adathalász oldalakra irányítják a felhasználókat.
A kutatók a böngészőben létrejövő dokumentumszerkezetet és HTTP-kéréseket vizsgálva követték az átirányításokat. Az elemzés során egy támadói szerveren működő adminisztrációs felületet is azonosítottak. Az ANY.RUN GeorgeGinx-összefoglalója
A kampány azt mutatja, hogy a kiinduló szolgáltatás ismertsége nem igazolja a teljes hivatkozási lánc biztonságát. A dokumentummegosztó oldal lehet legitim, miközben az azon elhelyezett tartalom vagy a továbblépésre adott utasítás rosszindulatú.
A vizsgálatnak ezért a teljes folyamatot kell követnie: mely oldalakra jutott a felhasználó, milyen műveletet kértek tőle, és milyen hitelesítési esemény történt utána.
4. WKLP: adatlopás és a végpontvédelem gyengítése
A WKLP Python-alapú információlopó és távoli hozzáférést biztosító trójai. Az ANY.RUN amerikai és francia kormányzati szervezeteket célzó tevékenységhez kapcsolta.
A leírt támadási lánc PowerShell segítségével indít egy legitim Python-futtatókörnyezetet, amelyet MoUsoCoreWorker.exe néven, Windows-folyamatnak álcáznak. A kártevő Microsoft Defender-kivételeket ad hozzá, biztonsági folyamatokat állít le, és Windows Update Service név mögé rejtett tűzfalszabályokat hoz létre.
Az adatlopási képességek böngészőadatokra, hitelesítési információkra, jelszókezelőkhöz kapcsolódó adatokra és érzékeny fájlokra is kiterjedhetnek. A távoli vezérlés további parancsfuttatást, újabb kártevők telepítését, valamint a képernyő, a kamera, a mikrofon és a vágólap elérését is lehetővé teheti.
A beszámoló egy olyan felügyeleti mechanizmust is említ, amely helyreállítja a törölt kártevőpéldányokat. Az ANY.RUN WKLP-ről szóló összefoglalója
A felsorolt képességek nem jelentik azt, hogy minden érintett rendszeren valamennyi műveletet végrehajtották. Az egyedi incidens hatását a helyi bizonyítékok alapján kell megállapítani.
A helyreállítás során a fájlok eltávolítása mellett a fennmaradást biztosító mechanizmusokat, a Defender-kivételeket és a tűzfalszabályokat is ellenőrizni kell. A Windowsra utaló folyamatnév önmagában nem igazolja a program eredetét.
5. Mir0Auth: hamis DocuSign-oldalról valódi Microsoft-hitelesítéshez
A Mir0Auth a Microsoft 365 hitelesítési tokenjeit célozza. Az ANY.RUN összefoglalója elsősorban amerikai szervezetek ellen megfigyelt aktivitást említ.
A támadás PDF-mellékletet tartalmazó adathalász e-maillel kezdődik. A dokumentum hamis DocuSign-oldalra vezet, majd a felhasználót a Microsoft valódi eszközkódos hitelesítési folyamatába irányítja.
A készlet elfedett hálózati kommunikációt és megtévesztő végpontneveket használ, például /task_queue.cs, /context.go és /window.rs útvonalakat. Ezek a kódkéréshez és a hitelesítési folyamat követéséhez kapcsolódnak. Az útvonalnevek önmagukban nem elegendők egy rosszindulatú kapcsolat azonosításához. Az ANY.RUN Mir0Auth-ismertetője
Ha a felhasználó befejezi a belépést, a támadó hozzáférési tokenhez juthat anélkül, hogy megszerezné a jelszót. A ténylegesen elérhető levelek, dokumentumok vagy más erőforrások körét a token és a fiók jogosultságai határozzák meg.
A jelszócsere nem minden munkamenetet zár le azonnal
Tokenalapú kompromittálódásnál a jelszó módosítása mellett a kiadott tokeneket és az alkalmazások munkameneteit is kezelni kell.
A Microsoft dokumentációja szerint a hozzáférés megszűnésének időpontja az alkalmazás és a token típusától függhet. Egy alkalmazás saját munkamenetét nem feltétlenül tudja közvetlenül visszavonni a központi identitásszolgáltató, és egy hozzáférési token hatása sem minden esetben szűnik meg azonnal. A Microsoft útmutatója a hozzáférés sürgősségi visszavonásához
Az incidenskezelésnek ezért a munkamenetek és a frissítési tokenek visszavonását, az alkalmazásszintű hozzáférés ellenőrzését és a fiók további aktivitásának vizsgálatát is magában kell foglalnia.
Milyen intézkedések következnek az öt kampányból?
A bemutatott esetek alapján a védekezési feladatok három terület köré rendezhetők.
A hitelesítési folyamatoknál fel kell mérni az eszközkódos belépés tényleges használatát. A Microsoft azt javasolja, hogy a nem szükséges használatot tiltsák, a kivételeket pedig dokumentálják és védjék. A szabályokat először jelentési módban érdemes értékelni, hogy a tiltás ne szakítson meg indokolt üzleti folyamatokat. A Microsoft Conditional Access-útmutatója
A végpontokon az ismeretlen telepítők, a váratlan szkriptfuttatás és a biztonsági beállítások módosítása igényel külön figyelmet. Az engedélyezett AI-eszközök listája mellett egyértelmű telepítési és frissítési forrásokra is szükség van.
Az incidensvizsgálatban össze kell kapcsolni az e-mailes, böngészős, hitelesítési és végponti eseményeket. Egy különálló gyanús URL vagy sikeres belépés csak a történet egy részét mutathatja.
A felhasználói képzésnek is alkalmazkodnia kell ehhez. A „nézd meg, valódi-e a bejelentkezési oldal” tanács továbbra is hasznos, de eszközkódos adathalászatnál nem elegendő. A felhasználónak azt is értenie kell, milyen eszköz vagy alkalmazás hozzáférését engedélyezi, és miért kér tőle egy dokumentum vagy meghívó ilyen műveletet.
Az októberi válogatás közös tanulsága, hogy a legitim szolgáltatás használata nem teszi automatikusan jogossá a teljes műveletsort. A hatékony védelemnek azt kell felismernie, amikor egy megszokott munkafolyamat a felhasználó szándékától eltérő hozzáféréshez vagy kódfuttatáshoz vezet.
Eredeti cím: Threat Landscape: Major Cyber Attacks In October 2026
