Las campañas de phishing modernas pueden comprometer a empresas estadounidenses sin necesidad de recurrir al robo tradicional de credenciales. Los atacantes pueden abusar de servicios en la nube legítimos, mecanismos de autenticación y flujos de trabajo empresariales de confianza para obtener acceso a cuentas corporativas, dejando menos señales evidentes. El análisis de ANY.RUN sobre Skyw4lker, una campaña de phishing con código de dispositivo dirigida principalmente a organizaciones de EE. UU., demuestra cómo funciona esto en la práctica. La campaña se ha centrado en los sectores de manufactura, tecnología y salud, utilizando documentos con temática empresarial, infraestructura alojada en Google y flujos de autenticación de Microsoft para facilitar el compromiso de cuentas.
Para los equipos de seguridad, la investigación va más allá de identificar el señuelo inicial. Requiere rastrear el flujo de autenticación y la infraestructura de soporte, extraer indicadores confiables y convertir esos hallazgos en detecciones que protejan a toda la organización.
Phishing con código de dispositivo: un desafío creciente para las organizaciones estadounidenses
La magnitud del phishing en Estados Unidos proporciona un contexto importante. El Centro de Quejas de Delitos en Internet del FBI registró 193,407 quejas por phishing y suplantación de identidad en 2024, lo que lo convierte en una de las categorías de delitos en internet más reportadas. En 2025, el FBI registró más de 1 millón de quejas por delitos en internet y $20.9 mil millones en pérdidas reportadas, con un aumento del 26% en las pérdidas reportadas en comparación con el año anterior.
Los atacantes también se están adaptando a las organizaciones que han invertido fuertemente en seguridad de identidad y autenticación multifactor (MFA).
El phishing con código de dispositivo es un ejemplo. En lugar de recopilar credenciales mediante una página de inicio de sesión falsa, un atacante puede iniciar un flujo legítimo de autorización de dispositivo y convencer a la víctima de que lo complete. Los tokens de autenticación resultantes pueden proporcionar acceso a los recursos disponibles para la cuenta comprometida.
Cómo Skyw4lker utiliza la autenticación legítima para comprometer cuentas
Cómo funciona la campaña Skyw4lker
Skyw4lker comienza con un señuelo diseñado para parecer correspondencia comercial normal, según lo observado en el análisis de ANY.RUN en su Sandbox interactivo.
Las víctimas reciben un documento protegido con contraseña presentado como un contrato o propuesta de servicio. El escenario es creíble en entornos donde los empleados intercambian habitualmente acuerdos con proveedores, documentos de adquisición, declaraciones de trabajo y archivos similares.
Desde el documento, la víctima es dirigida a una página alojada en sites[.]google[.]com, que finalmente conduce a un flujo de autenticación de Microsoft.
El atacante no necesita reproducir perfectamente la experiencia de inicio de sesión de Microsoft. La autenticación en sí puede ser legítima; el engaño consiste en convencer a la víctima de completar una solicitud de autenticación iniciada por el atacante.
Una vez completado el proceso, el atacante puede obtener acceso a los tokens de Microsoft 365 resultantes.
Eso hace que el ataque sea difícil de evaluar solo a través de la telemetría de identidad. Una organización puede ver un evento de autenticación válido sin ver inmediatamente el contexto malicioso que lo causó. Establecer qué sucedió requiere que el equipo de seguridad conecte el documento, la actividad web, el flujo de autenticación y la infraestructura asociada.
La infraestructura detrás de la página de phishing Skyw4lker
La infraestructura web utilizada por Skyw4lker proporciona evidencia adicional de la operación de la campaña.
El análisis de ANY.RUN identificó JavaScript ofuscado y un backend PHP utilizado para crear una sesión de víctima, recopilar información como la dirección IP y geolocalización, y sondear repetidamente el backend mientras espera que se complete el proceso de autenticación.
Una inspección estática del documento original puede revelar la URL de inicio, pero no puede explicar completamente qué sucede una vez que la víctima interactúa con la página. El comportamiento malicioso surge de la combinación de actividad del navegador, ejecución de JavaScript, comunicación con el backend, redirecciones y autenticación.
Eso hace que el análisis de comportamiento sea esencial cuando el objetivo es establecer exactamente qué está haciendo una campaña de phishing y qué indicadores se pueden confiar para la detección posterior.
Vea el análisis de Skyw4lker en el Sandbox interactivo de ANY.RUN para observar su cadena de ataque completa y los IOC asociados.
Reduzca la carga de trabajo de Nivel 1 hasta en un 20% y brinde a los analistas más tiempo para centrarse en amenazas críticas.
Mejore la eficiencia de su SOC
El sandbox interactivo convierte archivos y URL sospechosos en evidencia procesable
Un sandbox interactivo permite a los equipos de seguridad ejecutar e interactuar de forma segura con archivos, enlaces y documentos sospechosos, revelando comportamientos que la inspección estática puede pasar por alto.
Esto es importante en campañas como Skyw4lker, donde el documento es solo el punto de partida. Los analistas necesitan seguir el ataque a través del navegador, observar redirecciones y actividad de autenticación, inspeccionar la comunicación de red e identificar la infraestructura detrás del flujo de phishing. Todo esto se puede hacer en un entorno aislado de ANY.RUN Sandbox, con un resultado disponible en tan solo 40 segundos.
En lugar de detenerse en un veredicto de malicioso/benigno, la investigación puede producir URL, dominios, direcciones IP, actividad de red, capturas de pantalla, evidencia de comportamiento y otros IOC. Estos hallazgos brindan a los equipos de seguridad el contexto necesario para validar una alerta, delimitar la actividad relacionada y crear detecciones a partir de la evidencia recopilada durante una única investigación.
Como resultado, los equipos de SOC y MSSP pueden alcanzar un veredicto confiable más rápido sin reproducir manualmente el ataque en múltiples herramientas, mientras que la inteligencia resultante puede apoyar la búsqueda de amenazas y la detección en todo el entorno. Además, el mismo flujo de trabajo facilita que los MSSP investiguen nuevas campañas y conviertan los hallazgos de un caso de cliente en inteligencia que se puede buscar en otros entornos.
Convertir la inteligencia de amenazas en detección más temprana
El valor de un IOC aumenta cuando se puede utilizar para detectar otro ataque.
Los feeds de inteligencia de amenazas (TI Feeds) de ANY.RUN proporcionan IP, dominios, URL maliciosos e información contextual derivada de investigaciones en sandbox. El 99% de los IOC únicos de alta confianza se añaden a los TI Feeds después de la validación, lo que ayuda a los equipos de seguridad a trabajar con inteligencia que ya ha sido revisada.
El análisis interno de ANY.RUN encontró que hasta el 30% de los IOC maliciosos únicos descubiertos en sesiones de Interactive Sandbox ya habían sido observados por la compañía y estaban presentes en los TI Feeds. Cuando uno de estos indicadores aparece en la telemetría del cliente, potencialmente se puede comparar con la inteligencia existente antes de que un analista investigue manualmente la muestra asociada.
Esto crea un flujo de trabajo más eficiente: la actividad maliciosa conocida se puede identificar antes, mientras que el análisis en sandbox proporciona la evidencia de comportamiento necesaria para investigar amenazas desconocidas.
Para los SOC internos, esto puede reducir el tiempo dedicado a investigar indicadores que ya se sabe que son maliciosos. Para los MSSP, la misma inteligencia puede ayudar a identificar actividad relacionada en múltiples entornos de clientes. Así es como el conocimiento existente sobre amenazas se puede reutilizar en lugar de reconstruir para cada nueva alerta.
Reduzca el MTTR en 21 minutos y brinde a su SOC más tiempo para centrarse en amenazas críticas.
Integre TI Feeds
La inteligencia de amenazas proporciona contexto detrás de la alerta
Un indicador se vuelve más útil cuando los equipos de seguridad pueden comprender la actividad que lo rodea.
La búsqueda de inteligencia de amenazas (TI Lookup) de ANY.RUN permite a los analistas investigar un dominio, dirección IP o URL sospechosos y examinar su historial y actividad asociada. En una investigación relacionada con Skyw4lker, este contexto puede ayudar a determinar si un indicador está conectado con la campaña, ha aparecido en otra actividad maliciosa o requiere más investigación.
Además, los informes de inteligencia de amenazas (TI Reports) de ANY.RUN proporcionan una perspectiva más amplia al conectar indicadores con campañas, infraestructura, técnicas y comportamiento observado. Esto puede revelar relaciones que son difíciles de ver a partir de alertas individuales, como múltiples incidentes que comparten la misma infraestructura o un dominio sospechoso que pertenece a una operación de phishing más amplia.
Cuando se trata de organizaciones en los sectores de salud, manufactura y tecnología de EE. UU., esas conexiones pueden ser especialmente importantes. Una cuenta de Microsoft 365 comprometida puede exponer comunicaciones sensibles, propiedad intelectual, información operativa y datos regulados, lo que hace que la identificación temprana de actividad relacionada sea crítica.
Cómo hacer que cada investigación de SOC y MSSP sea más valiosa
Una investigación exitosa debe mejorar la capacidad de una organización para detectar el próximo ataque.
Para un MSSP que investiga un contrato sospechoso enviado a un cliente manufacturero estadounidense, los indicadores asociados con Skyw4lker se pueden buscar en otros entornos de clientes e incorporar a la monitorización. El mismo enfoque funciona dentro de un entorno de SOC interno, donde un IOC encontrado después de que un empleado reporta un documento de phishing se puede comparar con la telemetría histórica para identificar a otros usuarios potencialmente afectados.
ANY.RUN admite estos flujos de trabajo a través de integraciones API/SDK, STIX/TAXII, SIEM, TIP y XDR, permitiendo que la inteligencia de las investigaciones se incorpore a los procesos existentes de detección y monitorización.
El resultado es una protección más amplia a partir de la misma investigación: un incidente que afecta a un usuario puede generar inteligencia que ayude a identificar actividad relacionada en toda la base de clientes de un SOC o MSSP.
Descubra hasta un 58% más de amenazas y obtenga una visibilidad más amplia de los ataques emergentes.
Mejore la detección de amenazas
Conclusión
Skyw4lker muestra por qué la defensa moderna contra el phishing requiere visibilidad más allá del señuelo inicial o la página de inicio de sesión. Al combinar sandbox interactivo, inteligencia de amenazas e investigación contextual, los equipos de seguridad pueden pasar más rápido de un artefacto sospechoso a inteligencia procesable y una detección más amplia.
Para las organizaciones en EE. UU., eso significa investigaciones más rápidas, menos trabajo manual repetitivo y una mejor capacidad para identificar actividades relacionadas antes de que se conviertan en un incidente mayor. El objetivo no es solo comprender un ataque, sino convertir cada investigación en protección contra el siguiente.
Deja una respuesta