En el resumen de esta semana, CTI analiza una campaña de phishing en curso que se aprovecha de las entradas de actualización en los encabezados HTTP. A continuación, CTI ofrece información actualizada sobre el grupo Scattered Spider, que está llevando a cabo activamente ataques de ingeniería social de tipo « » dirigidos a cuentas en la nube. Por último, la CTI investiga a UNC2970, un individuo que se hace pasar por un reclutador y se dirige a sus víctimas con el pretexto de ofrecer puestos de trabajo.
Una campaña de phishing aprovecha los encabezados HTTP para sustraer credenciales
Investigadores de Palo Alto advierten de una campaña de phishing en curso en la que aprovecha las entradas de actualización de los encabezados HTTP (se abre en una nueva pestaña) para mostrar páginas de inicio de sesión de correo electrónico falsificadas.
Esta campaña se diferencia de otras campañas de phishing de distribuidas a través de contenido HTML, ya que utiliza el encabezado de respuesta enviado por un servidor, lo cual tiene lugar antes de que se procese el contenido HTML. Entre mayo y julio, los investigadores identificaron aproximadamente 2,000 direcciones URL maliciosas al día relacionadas con la campaña.
Cómo funciona la técnica
Los autores de amenazas suelen recurrir a herramientas y técnicas fácilmente accesibles para llevar a cabo campañas de phishing. Actualmente, los atacantes utilizan una técnica de actualización de encabezados para incrustar enlaces de phishing y crear señuelos convincentes. Los enlaces maliciosos se dirigen a cada usuario incorporando su dirección de correo electrónico en el campo «refresh» del encabezado de la respuesta HTTP. Esto obliga al navegador a actualizar o recargar automáticamente una página web sin que el usuario tenga que intervenir.
Al combinar esta técnica con dominios falsos que imitan a los dominios legítimos, los autores de las amenazas tienen más posibilidades de engañar a las víctimas para que faciliten sus credenciales.
Ejemplos de ataques de phishing mediante la actualización de encabezados
Los enlaces maliciosos utilizados en el ataque intentan convencer a las víctimas de que introduzcan sus credenciales en un sitio web que se asemeja mucho a la página de inicio de sesión legítima. Estas páginas suelen incluir la dirección de correo electrónico de la organización en el sitio web, rellenando automáticamente la dirección de correo electrónico de la víctima como nombre de usuario y solicitando una contraseña.
En junio, la organización « » de Palo Alto llevó a cabo campañas a gran escala: (se abre en una nueva pestaña),y . Una campaña llamó la atención porque utilizaba correos electrónicos que procedían de la misma dirección IP de origen y de la misma dirección de remitente falsificada. El asunto de correo electrónico más habitual de esta campaña fue «Completar con DocuSign: Formulario ACH/EFT ***». Los enlaces maliciosos se enviaron a través de direcciones URL de actualización de encabezado que contenían las direcciones de correo electrónico de los destinatarios.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta técnica de actualización de encabezados es un magnífico ejemplo de cómo los actores adoptan nuevas técnicas y demuestran la rapidez con la que pueden ampliar el alcance de sus ataques. El autor de esta campaña logró llevar a cabo múltiples ataques a gran escala en tan solo unos meses, llegando a afectar a 2,000 dominios al día.
Esto requiere un gran esfuerzo de supervisión y pone de manifiesto que el responsable disponía de los recursos necesarios para llevar a cabo una campaña como esta. Estas campañas ponen de manifiesto cómo se pueden utilizar de forma maliciosa los encabezados «refresh» de HTTP y proporcionan a los responsables de la seguridad una técnica adicional a la que deben prestar atención.
Scattered Spider tiene como objetivo las cuentas en la nube
Los investigadores de EclecticIQ han estado analizando las operaciones de ransomware, concretamente aquellas dirigidas a la infraestructura en la nube. Recientemente se ha descubierto que gran parte de la infraestructura y las tácticas, técnicas y procedimientos (TTP) observados en estos ataques coinciden con los del grupo Scattered Spider, responsable también del sonado ataque a MGM y de otros ataques avanzados de ingeniería social.
Desde el ataque a MGM, Scattered Spider ha llevado a cabo otros ataques de ingeniería social. Utilizan tanto el «vishing» (phishing por voz) como el «smishing» (phishing por SMS) para engañar a sus víctimas, y se ha observado que tienen como objetivo a los servicios de asistencia informática y a los administradores de identidades. Este actor busca principalmente ganarse la confianza de los demás y abusar de ella.
Desde las cuentas de usuario hasta la infraestructura en la nube
La última investigación de EclecticIQ revela que Scattered Spider suele comprometer redes mediante técnicas de ingeniería social dirigidas a cuentas en la nube.
Una de las formas en que el grupo consigue acceso no autorizado a entornos en la nube es a través de la filtración accidental de credenciales. El actor aprovecha los tokens de autenticación en la nube filtrados que quedaron expuestos accidentalmente en plataformas como GitHub debido a que las credenciales estaban integradas directamente en el código.
El actor también recurre a campañas de phishing y a técnicas de ingeniería social para comprometer cuentas, y suele centrar sus ataques en el personal de los servicios de asistencia informática y en los equipos de ciberseguridad. Los ataques se centran en servicios en la nube como Entra ID, AWS EC2 y aplicaciones SaaS.
Programas de robo de credenciales y intermediarios de acceso inicial
EclecticIQ ha detectado la venta de tokens de autenticación y credenciales para servicios en la nube en foros clandestinos, lo que supone una vía adicional para obtener credenciales y acceso a la nube.
Scattered Spider también utiliza malware muy conocido dedicado al robo de credenciales, entre los que se incluyen Stealc, Raccoon Stealer, Vidar Stealer y RedLine Stealer.
La suplantación de tarjetas SIM y las aplicaciones SaaS críticas
Este actor suele recurrir al intercambio de tarjetas SIM para eludir la autenticación multifactorial (MFA) y acceder a aplicaciones SaaS críticas.
Una vez que haya conseguido acceder a una cuenta de usuario, el atacante se centrará en la infraestructura en la nube y, en algunos casos, creará máquinas virtuales para eludir las medidas de seguridad existentes.
Aprovechamiento de herramientas de código abierto para el reconocimiento en la nube
Tras obtener acceso a una infraestructura en la nube a través de paneles de control con SSO habilitado para M365, el actor lleva a cabo un reconocimiento exhaustivo.
El actor buscará aplicaciones integradas en el entorno en la nube y se centrará en sistemas CRM, plataformas de gestión de documentos, soluciones de almacenamiento de contraseñas, repositorios de código y mucho más. Scattered Spider también buscará información que pueda utilizarse con fines de extorsión o para atacar a terceros relacionados con la víctima.
Persistencia en las infraestructuras en la nube
Desde el inicio de 2024, se ha observado que el actor hace un uso indebido de la sincronización entre tenants (CTS) en Microsoft Entra ID.
El actor también utiliza proveedores de identidad federada en los entornos de Entra ID y Okta para garantizar la persistencia.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El estudio de EclecticIQ analiza las operaciones del grupo entre el año 2023 y el segundo trimestre del año 2024. Sus conclusiones revelan que Scattered Spider ha tenido bastante éxito gracias, en gran medida, a sus hábiles técnicas de ingeniería social. La investigación de EclecticIQ también pone de manifiesto que este grupo está centrando sus esfuerzos en el despliegue de ransomware en entornos en la nube.
Cabe señalar que en July 2024 se detuvo a una persona vinculada al grupo «Scattered Spider». Solo el tiempo dirá si la operación sigue teniendo éxito.
UNC2970 se aprovecha de quienes buscan empleo en EE. UU.
Mandiant está realizando un seguimiento de un actor conocido como « » UNC2970 (se abre en una nueva pestaña). Este actor se hace pasar por un reclutador y se dirige a sus víctimas con el pretexto de ofrecer puestos de trabajo.
Últimamente, el actor se ha estado poniendo en contacto con las víctimas a través del correo electrónico y WhatsApp, y les ha estado enviando un archivo malicioso que contiene un archivo PDF cifrado y una aplicación de visualización de PDF infectada con un troyano. El archivo solo se puede abrir con la versión de SumatraPDF infectada con un troyano que se incluye, y su objetivo es instalar una puerta trasera.
Cadena de contagio UNC2970’s
Mandiant investigó un incidente en el que una víctima descargó y abrió un archivo ZIP protegido con contraseña que había recibido a través de WhatsApp. El archivo contenía cinco archivos: un PDF que incluía el archivo de señuelo mostrado a la víctima y la puerta trasera MISTPEN, un archivo DLL troyanizado, dos archivos DLL legítimos y el ejecutable legítimo de la aplicación de código abierto SumatraPDF.
Mandiant considera que se le indicó al usuario que abriera el archivo PDF que contenía el programa de visualización de PDF infectado con un troyano. Es importante señalar que no se trata de una vulnerabilidad de SumatraPDF, sino de una versión infectada con un troyano. La carga útil de MISTPEN se carga finalmente en la memoria.
- BURNBOOK se carga mediante el ejecutable SumatraPDF.exe. Se trata de un lanzador que ejecuta una carga útil cifrada almacenada en un archivo y la escribe en el disco. Contiene código malicioso que se activa cuando el usuario abre el archivo PDF que sirve de señuelo.
- MISTPEN : esta puerta trasera intenta descargar y ejecutar archivos PE. El malware es una versión modificada del complemento «binhex» de Notepad++, v2.0.0.1. Se comunica a través de HTTP con varias API de Microsoft Graph. Admite múltiples comandos, entre los que se incluyen el análisis sintáctico, la carga en memoria, la ejecución de la carga útil PE recibida, la finalización de procesos, la actualización de su tiempo de inactividad en la configuración y mucho más.
- El cargador de TEARPAGE está integrado en la sección de recursos de BURNBOOK. Se carga mediante el secuestro del orden de búsqueda de DLL y descifra un blob cifrado. El resultado descifrado es la puerta trasera MISTPEN.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los ciberdelincuentes buscan constantemente nuevas estrategias de ingeniería social, y la última parece consistir en hacerse pasar por reclutadores de personal.
Algunos estafadores envían a los solicitantes de empleo pruebas de programación falsas que contienen malware. La víctima ni siquiera llega a la fase de prueba y resulta afectada simplemente al abrir lo que cree que es un archivo PDF con la descripción del puesto.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
