La campagne Skyw4lker détourne le flux d'authentification par code d'appareil pour piéger des organisations américaines.

Une nouvelle campagne Skyw4lker illustre l’évolution du phishing moderne. Ici, les pirates n’ont plus besoin de voler un mot de passe. En effet, ils exploitent des services cloud légitimes et des mécanismes d’authentification reconnus. Selon l’analyse publiée par ANY.RUN, cette opération de device code phishing cible principalement des organisations américaines.

Le constat est simple. En effet, les attaquants s’appuient sur des outils que les entreprises utilisent chaque jour. Par conséquent, leurs actions ressemblent à une activité professionnelle normale.

Une campagne Skyw4lker qui contourne le vol de mots de passe

Le phishing classique repose sur une fausse page de connexion. La victime y saisit son identifiant et son mot de passe. Ensuite, l’attaquant les récupère aussitôt. Les équipes de sécurité connaissent bien ce schéma. Par ailleurs, elles disposent de nombreux outils pour le détecter.

Cependant, la campagne Skyw4lker adopte une approche différente. Elle mise sur l’abus de services cloud légitimes, de mécanismes d’authentification et de flux de travail métier de confiance. Autrement dit, l’attaquant s’insère dans des processus que l’organisation juge sûrs.

Cette méthode a un avantage évident pour les criminels. En effet, elle laisse moins de traces visibles. De plus, elle réduit les signaux d’alerte habituels, comme une page de connexion douteuse ou un domaine inconnu.

Comment fonctionne le phishing par code d’appareil

Le device code phishing détourne un mécanisme prévu pour les appareils à saisie limitée. Citons par exemple les téléviseurs connectés ou certains outils en ligne de commande. Ainsi, l’utilisateur se connecte depuis un autre terminal à l’aide d’un code court.

Voici, de manière générale, le déroulement de ce type d’attaque :

1. D’abord, l’attaquant lance une demande d’authentification et obtient un code d’appareil.
2. Ensuite, il envoie ce code à la victime, accompagné d’un prétexte crédible.
3. La victime saisit le code sur une page de connexion officielle du fournisseur.
4. Elle s’authentifie, souvent avec son authentification multifacteur.
5. Enfin, l’attaquant reçoit un accès légitime au compte.

Ainsi, la victime ne remet jamais son mot de passe à un faux site. Elle valide elle-même l’accès sur un service authentique. Toutefois, c’est bien l’attaquant qui en profite.

Cette description porte sur la technique en général. Elle sert donc à comprendre pourquoi la campagne Skyw4lker est efficace. Par ailleurs, les détails opérationnels propres à cette opération figurent dans l’analyse d’ANY.RUN.

Pourquoi cette menace est difficile à repérer

D’abord, la page de connexion est réelle. Les filtres anti-hameçonnage et les listes de domaines malveillants ont donc peu de prise. En effet, aucun faux site ne doit être bloqué.

Ensuite, l’authentification multifacteur ne suffit pas toujours. L’utilisateur approuve la connexion lui-même, en toute bonne foi. Le second facteur est donc validé, mais au profit de la mauvaise personne.

Enfin, l’activité qui suit peut sembler ordinaire. En effet, un accès à un compte professionnel via un service cloud reconnu n’éveille pas forcément les soupçons. Les analystes doivent alors examiner le contexte. Ils ne peuvent pas se limiter aux indicateurs techniques classiques.

Pour les entreprises américaines visées, le risque est concret. Un compte compromis peut notamment ouvrir l’accès à la messagerie, aux documents partagés et aux applications métier. Par ailleurs, un accès obtenu par ce biais peut servir de point d’appui pour de nouvelles attaques internes.

Face à la campagne Skyw4lker, quelles défenses ?

Aucune mesure unique ne règle le problème. En revanche, plusieurs actions réduisent nettement l’exposition. Les équipes de sécurité peuvent donc les déployer progressivement.

Limiter l’usage du flux par code d’appareil

La première mesure consiste à restreindre ou à bloquer ce flux lorsqu’il n’est pas nécessaire. En effet, dans de nombreux environnements, très peu d’utilisateurs en ont réellement besoin. Ainsi, une politique d’accès conditionnel permet de n’autoriser que les cas justifiés.

Surveiller les connexions et former les utilisateurs

Ensuite, il faut examiner les journaux d’authentification avec attention. Les connexions par code d’appareil inattendues méritent une vérification rapide. Par ailleurs, les collaborateurs doivent savoir qu’un code reçu de façon imprévue ne se saisit jamais sans raison.

La sensibilisation doit être précise. Elle doit notamment expliquer qu’une page de connexion légitime ne garantit pas une demande légitime.

Analyser les contenus suspects

Enfin, l’analyse dynamique des liens et des fichiers suspects aide à comprendre le comportement réel d’une menace. C’est précisément le type de travail mené par ANY.RUN sur cette campagne.

Ce qu’il faut retenir

• La campagne Skyw4lker est une opération de device code phishing qui vise principalement des organisations américaines.
• Elle abuse de services cloud légitimes, de mécanismes d’authentification et de flux de travail de confiance.
• Elle laisse donc moins de signes évidents qu’un phishing classique par vol d’identifiants.
• Il faut donc restreindre le flux par code d’appareil, surveiller les connexions et former les équipes.

Source : American Organizations Under Attack: Skyw4lker Device Code Phishing Campaign Exposed