En el resumen de esta semana, CTI analiza cómo los autores de amenazas están utilizando indebidamente las Páginas Móviles Aceleradas (AMP) de Google para eludir las medidas de seguridad del correo electrónico y acceder a las credenciales de inicio de sesión de los empleados. A continuación, analizaremos cómo los autores de amenazas están aprovechando una vulnerabilidad en los servicios de correo electrónico y los servidores SMTP de Salesforce para lanzar una sofisticada campaña de phishing dirigida a cuentas de Facebook. Por último, CTI analiza un informe que relaciona al actor ruso BlueCharlie con casi 100 nuevos dominios.
1. Los ciberdelincuentes se aprovechan de Google AMP para llevar a cabo ataques de phishing encubiertos
Según Cofense, cada vez son más las campañas de phishing que se aprovechan de AMP para eludir las medidas de seguridad del correo electrónico. Estas campañas incluyen direcciones URL de Google AMP en correos electrónicos de suplantación de identidad y se aprovechan de la buena reputación del dominio de Google.
Google AMP: una visión general
Google AMP es un marco de trabajo HTML de código abierto destinado a la creación de sitios web optimizados para su uso en dispositivos móviles. Las páginas web aparecen en la búsqueda de Google y también pueden utilizar la caché AMP de Google y Google Analytics para realizar un seguimiento de las interacciones de los usuarios. Las páginas web creadas mediante Google AMP se alojan inicialmente en una URL de Google AMP, como google.com/amp/s/or o google.co.uk/amp/s/.
Los autores de amenazas están alojando actualmente páginas web maliciosas que utilizan la ruta URL de Google AMP en sus correos electrónicos de phishing, con la intención de sustraer las credenciales de acceso de los empleados. Dado que las URL están alojadas en dominios legítimos de Google, a las herramientas de seguridad del correo electrónico les puede resultar difícil detectar el carácter malicioso de estos correos electrónicos.
Esta tendencia de campañas que hacen un uso indebido de Google AMP parece haber cobrado impulso en mayo y se ha mantenido en el panorama de amenazas desde entonces. Cofense observó un cambio en la táctica utilizada en June 15th, al emplearse «google.co.uk» en las URL de Google AMP. La idea general es la misma, pero la URL está alojada en un dominio de nivel superior de Google Reino Unido. De las URL de Google AMP analizadas por Cofense, se constató que el 77 % estaba alojado en google.com, mientras que el resto se encontraba en el dominio de nivel superior del Reino Unido de Google.
Los actores maliciosos utilizan una combinación de TTP
Los autores de amenazas están utilizando esta nueva táctica de Google AMP junto con métodos ya probados que contribuyen a la eficacia de un correo electrónico de phishing.
Se han observado las siguientes prácticas y técnicas (TTP) en diversos correos electrónicos de phishing que utilizan direcciones URL de Google AMP como enlaces incrustados:
- Dominios de confianza: La estrategia AMP resulta eficaz porque aloja una URL en un dominio de confianza como Google. Esto complica el análisis automatizado y dificulta el bloqueo de estos sitios web.
- Correos electrónicos de phishing basados en imágenes: Muchos de los correos electrónicos detectados por Cofense en esta campaña están basados en imágenes, lo que significa que no contienen un cuerpo de correo tradicional, sino que incluyen una imagen en formato HTML. Estos pueden resultar más difíciles de detectar que los correos electrónicos basados en texto, ya que la imagen puede introducir más ruido en el encabezado.
- Redirección de URL: La redirección de URL es una táctica muy habitual para obstaculizar el análisis del correo electrónico, especialmente cuando se producen múltiples redirecciones dentro de una misma cadena de ataque de phishing. En un caso observado por Cofense, el redireccionamiento se alojaba en Microsoft.com, al tiempo que redirigía al dominio AMP de Google. Esto aportó un nivel adicional de falsa legitimidad.
- CAPTCHA de Cloudflare: El uso indebido del CAPTCHA también se ha convertido en una táctica antianálisis muy habitual y se observó en la campaña de phishing de Google AMP. El servicio legítimo de seguridad de dominios requiere una intervención manual antes de llegar a la URL maliciosa definitiva.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El uso de direcciones URL de Google AMP en campañas de phishing supone, sin duda, una evolución y demuestra una vez más que los autores de estas amenazas siempre están buscando formas de perfeccionar sus técnicas».
«Las URL de Google AMP tienen una ruta común y bloquearla también restringiría todos los casos legítimos de URL de Google AMP, lo que dificultaría la protección frente a los correos electrónicos de phishing». «Señalar o alertar sobre estos dominios puede resultar de ayuda, pero, en última instancia, lo fundamental es informar a los usuarios sobre las últimas amenazas de phishing».
2. Los piratas informáticos se aprovechan de los servicios de correo electrónico de Salesforce en una campaña de phishing dirigida a usuarios de Facebook
En la actualidad, los piratas informáticos están aprovechando una vulnerabilidad de tipo « » en los servicios de correo electrónico de Salesforce — (se abre en una nueva pestaña),, — y en los servidores SMTP para lanzar una sofisticada campaña de phishing dirigida a cuentas de Facebook.
Los correos electrónicos parecen proceder de Meta, pero en realidad proceden de un dominio de correo electrónico de Salesforce. Desde entonces, los investigadores han colaborado con Salesforce para resolver y subsanar la vulnerabilidad.
Detalles de la campaña
Guardio Labs ha analizado una sofisticada estafa de phishing en Facebook que aprovecha una vulnerabilidad de Salesforce. El correo electrónico de phishing, muy bien elaborado, menciona el nombre del destinatario y se hace pasar por un correo de Meta Platforms. Además, contiene un botón grande en el que se lee «solicitar una revisión», que redirige a la víctima a la página de phishing con el objetivo de obtener los datos de la cuenta de Facebook del usuario.
La página de phishing está alojada como un juego en la plataforma de aplicaciones de Facebook, utilizando el dominio apps[.]facebook[.]com. Esto crea la impresión de que la página de asistencia forma parte de su cuenta de Facebook.
Aprovechamiento de la pasarela de correo electrónico de Salesforce
La pasarela de correo electrónico de Salesforce está diseñada para enviar un gran volumen de correos electrónicos a clientes de todo el mundo. Antes de enviar un correo electrónico, el sistema verificará la titularidad del nombre de dominio que va a utilizar para enviar el mensaje. Este dominio aparecerá junto al campo «De» y confirma que Salesforce tiene permiso para enviar correos electrónicos en nombre de esta marca.
Es necesario verificar una dirección de correo electrónico para poder enviar mensajes de correo electrónico. Al hacer clic en el enlace de verificación enviado a la bandeja de entrada de correo electrónico que desee, se concede a Salesforce permiso para configurar los correos electrónicos salientes. Una vez verificada una dirección, el usuario podrá seleccionarla en los mensajes de correo electrónico salientes.
Al analizar en profundidad los encabezados de los correos electrónicos, Guardio se percató de que el dominio del campo «De» contiene un subdominio generado para cada cuenta específica de Salesforce mediante la palabra clave «case». La dirección la controla el usuario mediante la función «Email-To-Case» de Salesforce, que convierte automáticamente los correos electrónicos recibidos de los clientes en tickets procesables en Salesforce.
Aprovechar Salesforce para consolidar la identidad de marca
Al profundizar en el proceso de validación, los investigadores descubrieron que es posible recibir correos electrónicos dirigidos a direcciones específicas de salesforce.com y acceder a su contenido a través del sistema de gestión de incidencias de Salesforce.
Para reproducir esto, Guardio comenzó creando un flujo «Email-To-Case» que les proporcionó un control total sobre la parte correspondiente al nombre de usuario de la dirección de correo electrónico de Salesforce. Eligieron «Salesforce» como nombre de usuario, lo que les proporcionó la siguiente dirección de correo electrónico para su uso indebido: salesforce@{account_id_hash}.case.salesforce[.]com.
Ahora disponían de una dirección de correo electrónico que se parecía a una de las que habían visto en campañas de phishing. A continuación, verificaron esta dirección de correo electrónico como «dirección de correo electrónico de toda la organización» para que la pasarela de envío masivo de Salesforce utilizara esta dirección en el flujo oficial de salida.
Tras verificar la dirección de correo electrónico, crearon una nueva dirección de correo electrónico para toda la organización utilizando la dirección de Salesforce recién generada. Esto activó el proceso de verificación que envió el correo electrónico a la dirección de reenvío, lo que dio lugar a una nueva tarea en el sistema. A partir de aquí, los autores de las amenazas pueden continuar y crear diversos tipos de estafas de phishing que parezcan proceder de una dirección de correo electrónico de salesforce.com. Es más probable que estos mensajes lleguen a la bandeja de entrada de las víctimas a las que van dirigidos, ya que proceden de Salesforce.
Uso indebido del dominio de las aplicaciones de Facebook
Guardio también fue testigo del uso indebido del dominio de las aplicaciones de Facebook. A partir de July 2020, ya no es posible crear lienzos de juegos heredados con ID de aplicación dentro del ecosistema de Facebook. Esta campaña, sin embargo, parecía seguir teniendo ese poder.
Según Meta, sigue siendo posible mantener la compatibilidad con los juegos antiguos que se desarrollaron antes de que se dejaran de utilizar, lo que los convierte en un objetivo atractivo para los autores de amenazas. Guardio se ha puesto en contacto con Meta, y Meta está llevando a cabo actualmente un análisis de las causas fundamentales para determinar por qué no funcionaron los mecanismos de detección y mitigación implantados.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña incluye enlaces legítimos a Facebook y se envía a través de direcciones de correo electrónico de Salesforce, por lo que no es de extrañar que los investigadores estén observando que esta campaña logre eludir algunas soluciones tradicionales contra el phishing».
Guardio resume muy bien estas preocupaciones:
Un aspecto preocupante de esta lucha constante es el uso indebido de servicios aparentemente legítimos, como los sistemas de gestión de relaciones con los clientes (CRM), las plataformas de marketing y los espacios de trabajo en la nube, para llevar a cabo actividades maliciosas. Esto supone una importante brecha de seguridad, ya que los métodos tradicionales suelen tener dificultades para seguir el ritmo de las técnicas avanzadas y en constante evolución que emplean los autores de las amenazas.
3. El actor ruso BlueCharlie altera la infraestructura en respuesta a las revelaciones
Recorded Future ha relacionado al actor malicioso vinculado a Rusia BlueCharlie (se abre en una nueva pestaña) con casi 100 nuevos dominios en los últimos meses.
El grupo está modificando activamente su infraestructura en respuesta a las revelaciones públicas realizadas por « » (se abre en una nueva pestaña) sobre sus actividades. Muchas de las tácticas, técnicas y procedimientos (TTP) observadas en operaciones recientes se apartan de las actividades anteriores del grupo, lo que sugiere una evolución.
¿Qué es BlueCharlie?
BlueCharlie es un actor malicioso vinculado a Rusia que opera bajo diversos nombres, entre los que se incluyen Callisto, Star Blizzard, COLDRIVER, TAG-53 y, anteriormente, Seaborgium. Lleva a cabo campañas de recopilación de información con el fin de realizar actividades de espionaje y llevar a cabo operaciones de piratería informática y filtración de información.
BlueCharlie lleva a cabo campañas persistentes de phishing y robo de credenciales, y suele recurrir a fuentes abiertas para realizar un reconocimiento previo a su intrusión. En un caso, el autor de la amenaza creó perfiles falsos en diversas plataformas de redes sociales para llevar a cabo actividades de reconocimiento sobre las entidades a las que se dirigía.
Al parecer, el grupo ha modificado sus tácticas, técnicas y procedimientos (TTP) después de que la información publicada sacara a la luz su infraestructura dedicada a la recopilación de credenciales.
Estructura del nombre de dominio
BlueCharlie ha cambiado recientemente el uso de determinadas palabras en sus dominios, adoptando un nuevo patrón. Los dominios anteriores estaban formados por dos términos separados por un guion. Un ejemplo es cloud-safety[.]online. Esta actividad anterior se basaba en una estructura de URL con sufijos para llevar a cabo ataques de phishing, algo que Recorded Future aún no ha observado en la actividad reciente.
La nueva convención de nomenclatura es coherente y similar en los 94 dominios identificados por Recorded Future. Los nuevos dominios están relacionados con temas centrados en las tecnologías de la información y las criptomonedas, con nombres como cloudrootstorage[.]com, directexpressgateway[.]com, storagecryptogate[.]com o pdfsecxcloudroute[.]com.
Los registradores de BlueCharlie
Los registradores con los que trabaja BlueCharlie también han cambiado. Anteriormente, PorkBun representaba más del 50 % de los registradores de dominios utilizados por BlueCharlie. A la vista de la actividad actual, el grupo se decanta de forma abrumadora por el registrador NameCheap.
Sistemas autónomos
Recorded Future ha identificado los ASN en los que se detectaron con mayor frecuencia las direcciones IP de BlueCharlie, tanto en lo que respecta a la actividad pasada como a la actual. Según informes previos del sector, Stark Industries, MIRhosting y PQ Hosting están relacionadas y se utilizan con frecuencia para alojar contenidos maliciosos o como parte de infraestructuras de ataque.
Certificados TLS X.509
Anteriormente, se descubrió que los dominios de BlueCharlie identificados alojaban los correspondientes certificados TLS X.509 de Let’s Encrypt. En su actividad más reciente, el grupo sigue recurriendo casi exclusivamente a los certificados de Let’s Encrypt. Hubo una excepción a esta norma en el caso del dominio bittechllc[.]net, que utilizaba la autoridad de certificación ZeroSSL.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La última vez que se reveló públicamente la infraestructura de BlueCharlie, la organización pasó a utilizar nuevas tácticas, técnicas y procedimientos (TTP), así como una nueva infraestructura». Teniendo esto en cuenta, es plausible que los informes públicos de Recorded Future les lleven a reaccionar de la misma manera en esta ocasión. «El grupo sigue fiel a sus raíces en el phishing, lo que nos recuerda una vez más la importancia de la formación y la sensibilización».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
