Esta semana, CTI resume la reciente advertencia de Microsoft sobre el aumento de las campañas que se aprovechan de servicios legítimos de alojamiento de archivos, como SharePoint, OneDrive y Dropbox, para eludir la detección. A continuación, CTI analiza una campaña de phishing en curso denominada « » (se abre en una nueva pestaña) que utiliza archivos adjuntos en formato HTML que imitan las páginas de inicio de sesión de Microsoft 365 . Por último, CTI concluye con una visión general del grupo de ransomware Dark Angels.
Los servicios de alojamiento de archivos facilitan los ataques de suplantación de identidad en el correo electrónico empresarial
Microsoft advierte (se abre en una nueva pestaña) del aumento de las campañas que se aprovechan de servicios legítimos de alojamiento de archivos, como SharePoint, OneDrive y Dropbox, para eludir la detección.
Según Microsoft, los ataques afectan cada vez más a archivos con acceso restringido y restricciones de solo lectura. Aunque estas campañas varían, todas comparten un objetivo final similar: suplantar identidades para llevar a cabo ataques BEC de tipo « » (se abre en una nueva pestaña).
¿De qué manera se utilizan los servicios de alojamiento de archivos para llevar a cabo ataques de BEC?
Microsoft ha detectado numerosas campañas que hacen un uso indebido de servicios legítimos de alojamiento de archivos. Estas campañas recurren cada vez más a archivos con acceso restringido y/o restricciones de solo lectura. Estas campañas tienen un carácter oportunista y su objetivo final es obtener datos de identidad que puedan utilizarse para llevar a cabo ataques de tipo BEC.
Los archivos se envían de diversas formas, entre ellas por correo electrónico y como archivos adjuntos a mensajes de correo electrónico. Los archivos con acceso restringido se envían a través de correos electrónicos de phishing y están configurados para que solo el destinatario previsto pueda acceder a ellos. Por lo tanto, el destinatario debe haber iniciado sesión en el servicio de intercambio de archivos (Dropbox, OneDrive, SharePoint) o volver a autenticarse.
Los archivos con restricciones de solo lectura se utilizan para intentar eludir los sistemas de detección de amenazas en el correo electrónico. Estos archivos desactivan la posibilidad de descargar el archivo, lo que dificulta que las herramientas detecten las URL incrustadas en él.
Acceso inicial
Por lo general, el ataque comenzará a través de un usuario de un proveedor de confianza que haya sido víctima de un ataque. A continuación, el actor alojará un archivo en el servicio de alojamiento de archivos de dicho proveedor y lo compartirá con una organización objetivo.
Microsoft ha determinado que estos correos electrónicos suelen utilizar asuntos basados en conversaciones y contenidos ya existentes, y recurren a un tono de urgencia para incitar a las víctimas a interactuar con dichos archivos.
Tras compartir el archivo, la víctima seleccionada recibirá un correo electrónico del servicio legítimo de intercambio de archivos en el que se le indicará que se le ha enviado un archivo. Ese correo electrónico no es necesariamente un intento de suplantación de identidad, pero conduce a una situación de suplantación de identidad.
Vulnerabilidad de la identidad
Una vez que la víctima accede al archivo compartido, se le solicita que verifique su identidad mediante un código de acceso de un solo uso.
Una vez obtenida la autorización, podrán consultar el documento haciendo clic en un enlace. El enlace redirige a una página de phishing, en la que se solicita de nuevo a la víctima que facilite su nombre de usuario y contraseña y que complete una autenticación multifactorial (MFA) de (se abre en una nueva pestaña). El actor se apropia de este token MFA durante el proceso, el cual puede utilizarse para llevar a cabo la siguiente fase de un ataque BEC.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los autores de amenazas llevan ya algún tiempo utilizando con fines maliciosos servicios legítimos como los señalados por Microsoft. El informe de Microsoft indica que esta tendencia continúa con la aparición de nuevas tácticas para eludir los sistemas de defensa, como el uso de archivos con acceso restringido y restricciones de solo lectura.
Los métodos que Microsoft señala en su informe requieren que la víctima realice algunos pasos adicionales, como verificar su identidad para autenticarse, hacer clic en enlaces adicionales e introducir sus credenciales en una página de phishing. Esto ofrece a las posibles víctimas algunas oportunidades adicionales para darse cuenta de que, aunque pueda tratarse de una amenaza, en el fondo pretende abusar de la confianza establecida con proveedores conocidos.
Microsoft ofrece una serie de medidas recomendadas (se abre en una nueva pestaña) , así como consultas de búsqueda útiles para ayudar a detectar y responder a esta amenaza.
Mamba 2FA supone una amenaza para las organizaciones de todo el mundo
El último informe de Sekoia, titulado « » (se abre en una nueva pestaña) , detalla una campaña de phishing en curso que utiliza archivos adjuntos en formato HTML que imitan las páginas de inicio de sesión de Microsoft 365 .
Las propias páginas de phishing mostraban los métodos de autenticación multifactorial (MFA) y utilizaban la biblioteca de JavaScript Socket.IO para comunicarse a través de WebSockets con un servidor de fondo. El ataque se relacionó inicialmente con la plataforma « » Tycoon 2FA Phishing as a Service (PhaaS): (se abre en una nueva pestaña). No obstante, una investigación más exhaustiva reveló que está relacionado con un kit de phishing de tipo «adversario en el medio» (AiTM), hasta ahora desconocido, denominado Mamba 2FA.
Características
A fecha de octubre, las URL asociadas al kit de phishing Mamba 2FA siguen la estructura {dominio}/{m,n,o}/?{cadena de Base64 caracteres}. La página de phishing solo se muestra si hay parámetros Base64 válidos; de lo contrario, aparecerá en blanco.
Si el kit detecta un entorno de pruebas, le redirigirá a una página de «Google 404 ». Las direcciones de correo electrónico a las que se desea enviar el mensaje pueden añadirse al final de la URL. En ese caso, la dirección de correo electrónico aparece ya rellenada en el formulario de inicio de sesión que se muestra. Sekoia ha determinado que la página de phishing puede presentarse en cuatro formatos distintos, en función de un parámetro incluido en la URL.
A partir de la versión « October 2024», la infraestructura de Mamba 2FA’s consta de dos capas: dominios de enlace y servidores de retransmisión.
Funcionalidades de Mamba 2FA
Mamba 2FA cuenta con capacidades similares a las de otros kits de phishing populares, entre las que se incluyen:
- Gestiona la verificación en dos pasos para métodos de autenticación multifactorial (MFA), como los códigos de un solo uso y las notificaciones de aplicaciones.
- Es compatible con Entra ID, los Servicios de federación de Active Directory (AD FS), proveedores de inicio de sesión único (SSO) de terceros y cuentas de Microsoft para particulares
- Puede reflejar de forma dinámica la imagen de marca de la página de inicio de sesión personalizada de una organización en sus páginas de phishing
- Envía credenciales y/o cookies al atacante a través de un bot de Telegram
Comercialización
Mamba 2FA es un , que se comercializa en Telegram (se abre en una nueva pestaña) mediante un modelo de suscripción. Los clientes del kit tienen acceso al bot de Telegram correspondiente, que les ayudará a generar enlaces de phishing y archivos adjuntos en formato HTML.
El operador del servidor se encarga del mantenimiento de la infraestructura que aloja las páginas, y los dominios no pertenecen a ningún cliente concreto. En cambio, se utilizan como un fondo común.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los kits de phishing, como Mamba 2FA , son una de las principales razones por las que el phishing sigue siendo una de las principales amenazas. Estos kits facilitan a los actores, independientemente de su nivel de experiencia, la realización de correos electrónicos de phishing sin la molestia que supone crear y mantener las páginas y la infraestructura propiamente dichas.
Sekoia también revela que los dominios utilizados por Mamba 2FA suelen ser «denunciados y bloqueados por las soluciones de seguridad al cabo de unos días de uso», lo que convierte el bloqueo de los dominios asociados en un juego del «golpea al topo».
El grupo de ransomware «Dark Angels» lleva a cabo ataques selectivos
Según Zscaler (se abre en una nueva pestaña), el grupo de ransomware Dark Angels comenzó a lanzar ataques en April 2022 y, desde entonces, ha estado llevando a cabo ataques selectivos.
Zscaler señala que este grupo opera con «estrategias más sigilosas y sofisticadas» que otras operaciones de ransomware. El grupo lleva a cabo ataques de ransomware altamente selectivos (se abre en una nueva pestaña) contra un número limitado de objetivos para llamar lo menos posible la atención.
Acerca del grupo de ransomware Dark Angels
Se cree que este grupo opera desde regiones de habla rusa y que tiene como objetivo a víctimas de Estados Unidos, Europa, Sudamérica y Asia.
Los primeros ataques del ransomware «Dark Angels» consistían en la distribución de este tipo de software para atacar sistemas Windows y se basaban en el código fuente filtrado de Babuk. El grupo no comenzó a publicar los datos sustraídos hasta principios de 2023.
El grupo pasó a utilizar una variante de RTM Locker para lanzar ataques de ransomware contra sistemas Windows y una variante de Ragnar Locker para cifrar archivos en sistemas Linux/ESXi.
Cómo funciona Dark Angels
El grupo de ransomware utiliza estrategias como el phishing y el aprovechamiento de vulnerabilidades para obtener acceso inicial.
A diferencia de muchos otros grupos de ransomware, Dark Angels no subcontrata sus ataques a afiliados ni recurre a intermediarios de acceso inicial, lo que les permite llevar a cabo únicamente unos pocos ataques selectivos.
Sus ataques suelen dar lugar al pago de rescates elevados y a la sustracción de datos que oscilan entre 1 y 100TB , como en el caso del ciberataque de «» contra Johnson Controls el año pasado (se abre en una nueva pestaña) , en el que el grupo sustrajo 27TB de datos.
Cifrado de archivos
Como se ha señalado, el grupo atacó inicialmente sistemas Windows con una versión de Babuk antes de utilizar una variante de RTM Locker. El ransomware utiliza criptografía de curva elíptica (ECC). En lugar de añadir una extensión breve a los archivos cifrados, añadirá la clave pública codificada en Curve25519 .
El grupo utiliza una variante de Ragnar Locker para sistemas Linux/ESXi. Este ransomware utiliza una combinación de cifrado asimétrico ECC y cifrado simétrico AES de 256 bits. Los parámetros de cifrado se incluyen como pie de página en cada archivo cifrado, junto con una nota de rescate creada para cada archivo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El grupo de ransomware Dark Angels se diferencia de la mayoría de los demás grupos en varios aspectos, aunque el más interesante es que no ha adoptado el modelo de «ransomware como servicio» (RaaS) de (se abre en una nueva pestaña)/affiliate.
El grupo sigue recurriendo a métodos tradicionales para llevar a cabo sus ataques, sin recurrir a la subcontratación, lo que le permite continuar con sus ataques altamente selectivos. Dark Angels recibió a principios de este año un pago de rescate por valor de 75 millones de dólares, una cifra récord según (se abre en una nueva pestaña) .
Haciéndome eco de las reflexiones de Zscsaler, el hecho de que hayan recibido un pago de rescate que ha batido todos los récords sin apenas aparecer en los titulares resulta sumamente preocupante y pone de manifiesto su compromiso por mantener un perfil extremadamente discreto.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
