Campanha Skyw4lker usa device code phishing contra organizações dos EUA

A campanha Skyw4lker, analisada pela ANY.RUN, mira organizações de manufatura, tecnologia e saúde nos EUA. A vítima recebe um documento protegido por senha, apresentado como contrato ou proposta de serviço. Dele, é levada a uma página em sites.google.com e, dali, a um fluxo de autenticação da Microsoft. O atacante não precisa clonar a tela de login: a autenticação é legítima. O engano está em fazer a vítima concluir uma autorização iniciada pelo criminoso. Feito isso, ele obtém os tokens do Microsoft 365.

Por isso, a telemetria de identidade sozinha ajuda pouco. A organização vê um evento de autenticação válido, sem o contexto malicioso por trás. A ANY.RUN identificou JavaScript ofuscado e um backend em PHP que cria uma sessão para a vítima, coleta endereço IP e geolocalização e consulta o servidor repetidamente até a autenticação terminar. Segundo a análise, a inspeção estática do documento pode revelar a URL inicial, mas não explica o comportamento depois da interação. Cruzar documento, navegação web, fluxo de autenticação e infraestrutura é o que fecha o quadro.

A técnica não é nova na cobertura do CEVIU. Em 12 de março de 2026, o CEVIU noticiou a "Descoberta de Nova Campanha de Phishing por Código de Dispositivo", com páginas em Cloudflare Workers imitando o Adobe Acrobat Sign. Em 27 de março de 2026, em "Phishing com Código de Dispositivo Afeta 340+ Organizações usando Microsoft 365, MFA Bypass por Abuso de Token", o foco era a captura de tokens que contorna a MFA. Em 9 de abril de 2026, a matéria sobre o toolkit EvilToken mostrou nós de polling em Railway.com.

Em 14 de julho de 2026, o CEVIU publicou "Ataque de Phishing Abusa do Fluxo de Código de Dispositivo Microsoft com Redirecionamentos Legítimos", que já citava PDFs protegidos por senha. A Skyw4lker segue esse padrão, com a isca de contrato protegido por senha. O que muda são a hospedagem no Google Sites e o recorte de setores nos EUA, além do backend PHP com polling descrito agora.

Para quem opera segurança em ambientes Microsoft 365, o recado é que MFA ativa não encerra o risco de device code phishing. A leitura editorial é que vale caçar autenticações por código de dispositivo fora do esperado e correlacioná-las com acessos a documentos e páginas suspeitas. Hospedagem em domínio de reputação alta, como o Google Sites, tende a dificultar bloqueios simples por domínio.