Microsoft 365, bajo ataque: falsos técnicos roban contraseñas y sesiones
Los usuarios de Microsoft 365 de todo el mundo se han enfrentado a dos campañas de ciberataques relacionadas. Su objetivo es robar las credenciales de los empleados y después aprovechar el acceso para sustraer información corporativa. Outlook, Teams, SharePoint y OneDrive están en el punto de mira.
Los atacantes se hacen pasar por miembros del servicio de TI. Llaman a las víctimas, les escriben por Teams o les envían correos electrónicos para avisarles de un supuesto problema que hay que resolver urgentemente. Después convencen a la persona para que les dé acceso remoto al ordenador o visite una página de inicio de sesión falsa de Microsoft 365.
En esa página, la víctima introduce su nombre de usuario, contraseña y código de autenticación en dos pasos. Para los ataques se emplea BigBear 2.0, un marco de «phishing como servicio»: una plataforma delictiva ya preparada que alquilan distintos grupos para lanzar sus campañas. El sistema utiliza la técnica AiTM, o «adversario en el medio»: un proxy especial se interpone entre el usuario y la infraestructura legítima de Microsoft, intercepta la contraseña, el código MFA y la cookie de la sesión autenticada y luego los reproduce mediante una API. Así, los delincuentes obtienen acceso a una sesión ya verificada.
CloudSEK informa de que la campaña rastreada con BigBear 2.0 robó más de 5000 registros de credenciales. Entre ellos había 474 autenticaciones totalmente comprometidas con elusión de MFA, 1032 contraseñas en texto plano y 4148 cookies de sesión. El ataque afectó a 3331 direcciones IP únicas en más de 40 países y seguía activo cuando se preparó el informe.
El panel multiusuario de BigBear 2.0 cuenta con al menos cinco operadores afiliados. Los investigadores los identificaron a través de bots de Telegram que transmitían los datos robados en tiempo real. Según CloudSEK, los atacantes seleccionaron 461 organizaciones y lograron comprometer al menos un conjunto de credenciales en 258 de ellas.
En paralelo, Arctic Wolf investigaba la actividad del grupo PREY-0058. Los investigadores creen que no se trata de un nuevo nombre para una banda antigua. Más bien, numerosos afiliados, equipos escindidos y otros participantes utilizan la misma infraestructura de phishing, lo que difumina los límites entre grupos delictivos y dificulta que los analistas los distingan con precisión.
El principal objetivo de los atacantes no es cifrar archivos ni extorsionar. En estas campañas, el uso de ransomware es poco frecuente. Lo que más les interesa es sustraer discretamente correos, documentos, conversaciones y otra información confidencial de los servicios en la nube de Microsoft 365.
Según Arctic Wolf, los principales objetivos son empresas de Estados Unidos de los sectores de la construcción y la ingeniería, la sanidad y la industria farmacéutica, el inmobiliario y la gestión de instalaciones, las finanzas y los servicios profesionales.
Los especialistas recomiendan aplicar políticas de Conditional Access —reglas que limitan el inicio de sesión según el dispositivo, la ubicación y otras condiciones—, utilizar autenticación multifactor resistente al phishing y reducir la cantidad de datos de SharePoint accesibles para cada usuario. También es importante formar a los empleados para que reconozcan llamadas, correos y páginas de inicio de sesión falsos.
Los equipos de defensa pueden detectar estos ataques si vigilan la reutilización inusual de tokens a través de proxies residenciales, las búsquedas y descargas masivas de datos de SharePoint, la extracción del contenido de buzones y la aparición de dominios registrados recientemente que imitan páginas de autenticación.
La MFA resistente al phishing está diseñada para que el usuario no pueda limitarse a entregar un código al atacante por mensaje o mediante una web falsa. Entre estos métodos están las passkeys, las llaves físicas de seguridad YubiKey y los sistemas de autenticación basados en FIDO2/WebAuthn. Vinculan criptográficamente el inicio de sesión al sitio legítimo, así que la confirmación no puede reenviarse sin más al atacante.
PEREC.RU
El artículo describe campañas de phishing a gran escala contra usuarios de Microsoft 365 en las que los atacantes se hacen pasar por personal de TI. Llaman a las víctimas, contactan con ellas a través de Microsoft Teams o utilizan el correo electrónico y después las convencen para que concedan acceso remoto o visiten una página de inicio de sesión falsa. Su objetivo principal es obtener el nombre de usuario, la contraseña, el código de autenticación multifactor y la cookie de una sesión autenticada.
Una de las herramientas clave de la campaña es BigBear 2.0, un marco de «phishing como servicio»: una plataforma ya preparada que pueden alquilar distintos operadores delictivos. Utiliza la técnica AiTM, o «adversario en el medio». Un proxy malicioso se coloca entre la víctima y la infraestructura legítima de Microsoft, intercepta las credenciales, los códigos MFA y los datos de sesión, y después reproduce la autenticación válida mediante una API. Así, los delincuentes pueden eludir la protección multifactor habitual.
CloudSEK informa de más de 5000 registros robados: 474 autenticaciones totalmente comprometidas con elusión de MFA, 1032 contraseñas en texto plano y 4148 cookies de sesión. La campaña afectó a 3331 direcciones IP únicas de más de 40 países y seguía activa cuando se preparó el informe. Según los investigadores, los ataques se dirigieron contra 461 organizaciones y en 258 de ellas se comprometió al menos un conjunto de credenciales. Al menos cinco operadores recibían los datos en tiempo real a través de bots de Telegram.
Arctic Wolf analiza por separado la actividad del grupo PREY-0058. Los investigadores creen que no es el nuevo nombre de una banda anterior: probablemente, distintos equipos afiliados y grupos escindidos utilizan la misma infraestructura de phishing, lo que dificulta distinguirlos.
Tras acceder a las cuentas, los atacantes suelen robar datos de Outlook, Teams, SharePoint y OneDrive. El despliegue de ransomware es poco frecuente. Arctic Wolf señala que los principales objetivos son organizaciones estadounidenses de los sectores de la construcción y la ingeniería, la sanidad y la industria farmacéutica, el inmobiliario, las finanzas y los servicios profesionales.
Los expertos recomiendan aplicar Conditional Access, limitar el acceso de los usuarios a los datos de SharePoint y emplear MFA resistente al phishing. Entre esos métodos están las passkeys, las llaves físicas YubiKey y la autenticación FIDO2/WebAuthn. Su ventaja es que quedan vinculados criptográficamente al sitio legítimo: la confirmación no se puede reenviar sin más al atacante. Los equipos de defensa también deberían vigilar la reutilización anómala de tokens a través de proxies residenciales, el acceso masivo a SharePoint, la extracción de buzones y los dominios creados recientemente que imitan páginas de inicio de sesión.
