Skyw4lker Kampanyası: Microsoft 365 Kimlik Doğrulaması Silah Olarak Kullanılıyor

ABD'li şirketleri hedef alan yeni bir kimlik avı kampanyası, geleneksel parola çalma yöntemleri yerine Microsoft'un kendi kimlik doğrulama altyapısını silah olarak kullanıyor. ANY.RUN'ın tehdit analiz ekibinin incelediği Skyw4lker kampanyası; üretim, teknoloji ve sağlık sektörlerindeki kuruluşları hedef alarak cihaz kodu kimlik avı tekniğiyle kurumsal hesaplara erişim elde ediyor. Saldırganlar bu yöntemle sahte bir giriş sayfası oluşturmak zorunda kalmadan, meşru bir kimlik doğrulama akışını kurbanın kendi eliyle tamamlamasını sağlıyor.

Cihaz Kodu Kimlik Avı Nedir, Neden Tehlikelidir?​

Geleneksel kimlik avı saldırıları genellikle sahte bir giriş sayfası aracılığıyla kullanıcı adı ve parola toplamaya dayanır. Cihaz kodu kimlik avında ise süreç çok daha sinsi işler: Saldırgan, meşru bir cihaz yetkilendirme akışı başlatır ve kurbanı bu akışı tamamlamaya ikna eder. Kurban işlemi tamamladığında saldırgan, Microsoft 365 erişim tokenlarını elde eder. Bu yöntemde kimlik doğrulama olayı tamamen geçerli görünür; bu da güvenlik ekiplerinin kimlik telemetrisi üzerinden anormalliği hemen fark etmesini güçleştirir.
FBI'ın İnternet Suçları Şikâyet Merkezi, 2024 yılında 193.407 kimlik avı ve sahtekârlık şikâyeti kaydetmiş olup bu kategori en sık bildirilen internet suçları arasında yer almaktadır. 2025 yılında ise FBI'a iletilen internet suçu şikâyetleri 1 milyonu aşmış, bildirilen kayıplar bir önceki yıla kıyasla yüzde 26 artışla 20,9 milyar dolara ulaşmıştır.

Skyw4lker Saldırısı Nasıl İşliyor?​

Kampanya, olağan iş yazışmalarını taklit eden bir yem belgesiyle başlıyor. ANY.RUN'ın Etkileşimli Sandbox analizinde gözlemlendiği üzere kurbanlar, bir sözleşme ya da hizmet teklifi olarak sunulan parola korumalı bir belge alıyor. Çalışanların rutin olarak tedarikçi anlaşmaları, satın alma belgeleri ve iş tanımı dosyaları paylaştığı ortamlarda bu senaryo oldukça inandırıcı görünüyor.
Belgeden kurban, sites[.]google[.]com üzerinde barındırılan bir sayfaya yönlendiriliyor. Bu sayfa nihayetinde bir Microsoft kimlik doğrulama akışına açılıyor. Saldırganın Microsoft'un giriş deneyimini mükemmel biçimde yeniden üretmesine gerek yok; çünkü kimlik doğrulamanın kendisi gerçek. Asıl aldatmaca, kurbanı saldırgan tarafından başlatılmış bir kimlik doğrulama isteğini tamamlamaya ikna etmekte yatıyor. Süreç tamamlandığında saldırgan, Microsoft 365 tokenlarına erişim kazanıyor.

Altyapı: Gizlenmiş JavaScript ve PHP Arka Ucu​

ANY.RUN'ın analizi, Skyw4lker'ın web altyapısında gizlenmiş JavaScript ve bir PHP arka ucu kullandığını ortaya koyuyor. Bu yapı; kurban oturumu oluşturmak, IP adresi ve coğrafi konum gibi bilgileri toplamak ve kimlik doğrulama süreci tamamlanana kadar arka ucu düzenli aralıklarla sorgulamak amacıyla kullanılıyor.
Özgün belgenin statik olarak incelenmesi başlangıç URL'sini açığa çıkarabilir; ancak kurban sayfayla etkileşime geçtiğinde yaşananları tam anlamıyla açıklamaya yetmez. Zararlı davranış; tarayıcı etkinliği, JavaScript çalıştırma, arka uç iletişimi, yönlendirmeler ve kimlik doğrulamanın birleşimiyle ortaya çıkıyor. Bu nedenle kampanyanın tam olarak ne yaptığını ve hangi göstergelerin güvenilir olduğunu anlamak için davranışsal analiz zorunlu hale geliyor.

Güvenlik Ekipleri İçin Sandbox ve Tehdit İstihbaratı Yaklaşımı​

ANY.RUN'ın Etkileşimli Sandbox ortamı, güvenlik ekiplerine şüpheli dosya, bağlantı ve belgeleri izole bir ortamda çalıştırma ve etkileşime girme imkânı sunuyor. Skyw4lker gibi kampanyalarda belge yalnızca başlangıç noktasıdır; analistlerin saldırıyı tarayıcı üzerinden izlemesi, yönlendirmeleri ve kimlik doğrulama etkinliğini gözlemlemesi, ağ iletişimini incelemesi ve kimlik avı akışının arkasındaki altyapıyı tespit etmesi gerekiyor. Şirket, bu sürecin 40 saniye gibi kısa bir sürede sonuç verebildiğini belirtiyor.
ANY.RUN'ın iç analizine göre Etkileşimli Sandbox oturumlarında keşfedilen benzersiz zararlı IOC'lerin yüzde 30'una kadarı daha önce şirket tarafından gözlemlenmiş ve Tehdit İstihbaratı Beslemelerine (TI Feeds) eklenmiş durumda. Şirket ayrıca TI Feeds'e eklenen benzersiz, yüksek güvenilirlikli IOC'lerin yüzde 99'unun doğrulamadan geçtiğini açıklıyor. Bu durum, bilinen zararlı etkinliğin analist manuel incelemesi başlamadan önce daha erken aşamada tespit edilebileceği anlamına geliyor.
Skyw4lker'ın öncelikli olarak hedef aldığı ABD'deki sağlık, üretim ve teknoloji sektörleri açısından değerlendirildiğinde, ele geçirilen bir Microsoft 365 hesabının hassas iletişimleri, fikri mülkiyeti, operasyonel bilgileri ve düzenlenmiş verileri ifşa edebileceği göz önünde bulundurulduğunda ilgili etkinliğin erken tespit edilmesi kritik önem taşıyor.

Sıkça Sorulan Sorular​

Skyw4lker kampanyası hangi sektörleri hedef alıyor?​

ANY.RUN'ın analizine göre Skyw4lker kampanyası öncelikli olarak ABD'deki üretim, teknoloji ve sağlık sektörlerindeki kuruluşları hedef alıyor.

Cihaz kodu kimlik avı, geleneksel kimlik avından nasıl farklılaşıyor?​

Geleneksel kimlik avı sahte bir giriş sayfası üzerinden parola toplarken, cihaz kodu kimlik avında saldırgan meşru bir cihaz yetkilendirme akışı başlatır ve kurbanı bu akışı tamamlamaya ikna eder. Süreç tamamlandığında saldırgan Microsoft 365 erişim tokenlarını elde eder; kimlik doğrulama olayı meşru göründüğünden tespit etmek güçleşir.

Skyw4lker saldırısında Google altyapısı neden kullanılıyor?​

Kampanyada kurbanlar, belgeden sites[.]google[.]com üzerinde barındırılan bir sayfaya yönlendiriliyor. Bu yöntem, Google'ın güvenilir altyapısını kullanarak şüphe uyandırmadan kurbanı Microsoft kimlik doğrulama akışına taşımaya yarıyor.

FBI'ın 2025 internet suçu istatistikleri ne gösteriyor?​

FBI'a göre 2025 yılında internet suçu şikâyetleri 1 milyonu aşmış, bildirilen kayıplar bir önceki yıla kıyasla yüzde 26 artışla 20,9 milyar dolara ulaşmıştır. 2024'te ise yalnızca kimlik avı ve sahtekârlık kategorisinde 193.407 şikâyet kayıt altına alınmıştır.

Skyw4lker saldırısını tespit etmek için hangi analiz yöntemi öneriliyor?​

ANY.RUN, statik incelemenin yetersiz kaldığı bu tür kampanyalar için davranışsal analizi zorunlu görüyor. Etkileşimli Sandbox ortamında tarayıcı etkinliği, JavaScript çalıştırma, arka uç iletişimi, yönlendirmeler ve kimlik doğrulama akışının bütünü izlenerek güvenilir IOC'ler elde edilebiliyor ve bu göstergeler daha geniş tespit süreçlerine entegre edilebiliyor.