Šta se desilo?

Istraživanja Google-a i Microsoft-a opisuju odvojene slučajeve u kojima malver koristi legitimne cloud API-je za komunikaciju sa napadačima. GRIDTIDE je opisan u februaru 2026, a SesameOp u novembru 2025. Ovi primeri pokazuju zašto poznat domen sam po sebi nije dovoljan dokaz da je saobraćaj bezbedan.

Koga pogađa?

Proveru zahtevaju organizacije čiji serveri i radne stanice imaju pristup spoljnim cloud servisima. Kod ovakve komunikacije resurs može pripadati napadaču: nije neophodno da napadač prethodno preuzme cloud nalog organizacije. Opisani slučajevi nisu dokaz kompromitovanja svih korisnika tih platformi.

Kako se zaštititi?

  • Ograničite izlazne veze servera na servise potrebne za njihov rad.
  • Povežite mrežne i proxy logove sa podacima o procesu koji uspostavlja vezu.
  • Istražite neuobičajene API pozive, periodično preuzimanje komandi i pokretanje shell procesa.
  • Pregledajte aplikacione dozvole, servisne naloge i nepotrebne dugotrajne ključeve.
  • Za privilegovane korisničke naloge uvedite MFA; servisne identitete zaštitite ograničenim dozvolama i kontrolom kredencijala.
  • Pripremite postupak izolacije zaraženog uređaja i opoziva kompromitovanih pristupa.

Tehnički detalji

GRIDTIDE koristi Google Sheets kao kanal za komande i prenos podataka, uz autentifikaciju servisnim nalogom napadača. Google je saopštio da je ugasio identifikovane naloge i projekte korišćene u kampanji. SesameOp je u Microsoft-ovom istraživanju koristio OpenAI Assistants API za preuzimanje komandi i slanje rezultata, bez izvršavanja AI modela. To je istorijski primer zloupotrebe API funkcija, a ne tvrdnja o novoj aktivnoj kampanji.

Zašto je važno?

U oba opisana slučaja istraživači razlikuju zloupotrebu legitimne funkcionalnosti od ranjivosti same cloud platforme. Odbrana zato zahteva praćenje ponašanja na uređaju i namene komunikacije, uz kontrole identiteta. MFA korisnika ne pokriva automatski autentifikaciju aplikacija i servisnih naloga.

Preporuka Sajber Radara

Proverite da li možete da objasnite koji proces, nalog i poslovna potreba stoje iza cloud komunikacije. Ne blokirajte sve poznate servise naslepo; primenite ograničenja prema ulozi sistema i istražite odstupanja.