В новом дайджесте – три исследования о фишинге и захвате корпоративных учётных записей. Unit 42 показала приманки без текста в DOM, Microsoft раскрыла две кампании III квартала, а ZeroBEC разобрала управление реальным браузером жертвы вместо копии страницы входа.
Unit 42: приманка исчезает из DOM
Unit 42 опубликовала 4 ноября разбор трёх кампаний, зафиксированных с мая по октябрь 2026 года [1]. Исследователи зарегистрировали 1740 детектирований. География, отрасли и названия организаций не раскрыты, а число детектирований не означает столько же уникальных жертв или успешных компрометаций.
Все три кампании убирали содержательный текст и поля из объектной модели документа, или DOM, на которую опирается часть автоматических анализаторов. В первой кампании, на которую пришлось 1188 детектирований, Google Drawings показывал карточку проверки аккаунта как готовое изображение размером 1200×630 пикселей. В HTML при этом не было видимых слов, полей ввода или canvas.
Во второй кампании с 361 детектированием поддельный просмотрщик PDF.js рисовал размытый банковский перевод на HTML5 canvas. Кнопка открывала форму пароля под предлогом разблокировки зашифрованного документа либо предлагала мобильную нагрузку. Третья кампания дала 191 детектирование: страница, имитировавшая вход в мессенджер MAX, строила QR-код из векторных SVG-координат и использовала его для захвата сеанса.
Франкоязычный разбор CyberVeille сверил технику и индикаторы кампаний с первичным файлом Unit 42 [2]. Для защиты недостаточно искать текстовые приманки в HTML. Системам анализа нужны визуальный рендеринг и OCR, проверка canvas, SVG, service worker и цепочек облачных редиректов. После ввода данных на подозрительной странице следует отзывать все связанные сессии.
Microsoft: 7,3 млрд почтовых угроз за квартал
Microsoft Threat Intelligence 5 ноября опубликовала обзор июля–сентября 2026 года [3]. Компания обнаружила примерно 7,3 млрд почтовых фишинговых угроз, причём почти 3 млрд пришлись на сентябрь – на 41% больше, чем в августе. Ещё около 129 млн вредоносных сообщений подменяли домены отслеживаемых деловых сервисов.
В сентябре пользовательские или корпоративные исключения действовали для 63% сообщений с зафиксированным исходом, хотя письма не прошли аутентификацию и уже были признаны вредоносными. Эти числа описывают детектирования, а не открытые письма или подтверждённые взломы.
QR-код и device code против юридических организаций
С 19 по 20 августа за 13 часов кампания адресовала письма более чем 10 000 пользователей в более чем 4800 организациях, почти все цели находились в США. Основной сектор – юридические и другие профессиональные услуги.
Письмо с темой Salary Review содержало персонализированный Word-документ Your-Q3-Compensation-Summary.docx с логотипом работодателя и QR-кодом. Код вёл на поддельный OneDrive, где жертве показывали device code и направляли на настоящий microsoft.com/devicelogin. После ввода кода и обычного входа атакующий получал токен Microsoft 365 без знания пароля и повторного запроса MFA.
Заказы и зарплата доставляли Agent Tesla
Другая кампания 21 сентября за девять часов направила письма более чем 56 000 пользователей в более чем 8100 организациях. Приманки на испанском языке имитировали заказ или ведомость зарплаты. SPF, DKIM и DMARC домена отправителя проходили проверку, а отображаемое имя подстраивалось под отдел продаж или кадровую службу организации.
Архивы с двойными расширениями скрывали JavaScript, PowerShell или исполняемый файл Agent Tesla для кражи данных. На Колумбию пришлось 15% целей, на США и Мексику – по 12%, Чили – 11%, Испанию – 8%. Чаще всего письма предназначались розничным и потребительским компаниям, производству и сельскому хозяйству, а также финансовым организациям.
Microsoft рекомендует убрать широкие исключения из фильтрации, декодировать QR-коды во вложениях, ограничить device-code flow и применять фишинг-устойчивую MFA для привилегированных аккаунтов. Архивы и двойные расширения необходимо проверять до запуска.
PhantomDOM передаёт управление настоящим браузером
ZeroBEC 5 ноября описала и остановила целевую фишинговую попытку против неназванной организации с Microsoft 365 [4]. Страна и сектор цели не раскрыты. Письмо пришло с предположительно скомпрометированного легитимного домена и содержало PDF, оформленный как уведомление SharePoint от кадровой службы или бухгалтерии.
Приманка использовала логотип организации, сообщение о льготах и компенсациях и трёхдневный срок действия ссылки. После редиректоров, сбора характеристик браузера и Cloudflare Turnstile жертва попадала не на обычную копию входа, а в Microsoft-сеанс внутри удалённого браузера злоумышленника.
PhantomDOM реконструировал страницу, передавал по WebSocket нажатия клавиш, буфер обмена и ответы MFA и позволял оператору вручную перехватить управление. Жертва взаимодействовала с настоящим входом Microsoft, но браузер и итоговая сессия оставались у атакующего.
Во время контролируемой проверки 4 ноября исследователи увидели два обращения к письмам Outlook, запуск Microsoft 365 Search и создание папки Copilot Chat Files в OneDrive. Система запрашивала параметры создания passkey, однако успешная регистрация нового ключа не подтверждена. Запросов к Copilot и долговременного хранения нажатий клавиш исследователи также не установили. Реальная компрометация неназванной организации не доказана, оператор не атрибутирован.
Защитникам стоит сопоставлять адрес входа с последующим доступом к Outlook и OneDrive, ограничивать неизвестные внешние сессии и использовать FIDO2 или passkey. При подозрении на такую цепочку смены пароля недостаточно – нужно отозвать токены и завершить все активные сеансы.
Источники
[1] https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/HEAD/2026-11-04-Phishing-Campaigns-Using-Graphics-Based-Lures.txt
[2] https://cyberveille.ch/posts/2026-11-05-trois-campagnes-de-phishing-exploitant-des-leurres-graphiques-images-canvas-html5-svg/
[3] https://www.microsoft.com/en-us/security/blog/2026/11/05/email-threat-landscape-q3-2026-trends-and-insights/
[4] https://zerobec.com/blog/phantomdom-browser-in-the-middle-microsoft-365