Actores maliciosos están utilizando una herramienta de ataque en la nube llamada Xeon Sender para llevar a cabo campañas de phishing y spam por SMS a gran escala abusando de servicios legítimos.
«Los atacantes pueden utilizar Xeon para enviar mensajes a través de múltiples proveedores de software como servicio (SaaS) utilizando credenciales válidas para los proveedores de servicios», afirma Alex Delamotte, investigador de seguridad de SentinelOne, en un informe compartido con The Hacker News.
Entre los servicios utilizados para facilitar la distribución masiva de mensajes SMS figuran Amazon Simple Notification Service (SNS), Nexmo, Plivo, Proovl, Send99, Telesign, Telnyx, TextBelt y Twilio.
Es importante señalar aquí que la actividad no explota ninguna debilidad inherente a estos proveedores. Más bien, la herramienta utiliza API legítimas para llevar a cabo ataques masivos de spam SMS.
Se une a herramientas como SNS Sender, que se han convertido cada vez más en una forma de enviar mensajes masivos de smishing y, en última instancia, capturar información confidencial de los objetivos.
Se distribuye a través de Telegram y foros de hacking, y una de las versiones más antiguas se atribuye a un canal de Telegram dedicado a anunciar herramientas de hacking crackeadas. La versión más reciente, disponible para su descarga como archivo ZIP, se atribuye a un canal de Telegram llamado Orion Toolxhub (oriontoolxhub) que cuenta con 200 miembros.
Orion Toolxhub se creó el 1 de febrero de 2023. También ha puesto a disposición de forma gratuita otro software para ataques de fuerza bruta, búsquedas inversas de direcciones IP y otros, como un escáner de sitios WordPress, una shell web PHP, un clipper Bitcoin y un programa llamado YonixSMS que pretende ofrecer capacidades ilimitadas de envío de SMS.
Xeon Sender también se conoce como XeonV5 y SVG Sender. Las primeras versiones de este programa basado en Python se detectaron en 2022. Desde entonces ha sido reutilizado por varios actores de amenazas para sus propios fines.
«Otra encarnación de la herramienta está alojada en un servidor web con una interfaz gráfica de usuario», dijo Delamotte. «Este método de alojamiento elimina una posible barrera de acceso, permitiendo a los actores menos cualificados que pueden no sentirse cómodos con la ejecución de herramientas Python y la solución de problemas de sus dependencias».
Xeon Sender, independientemente de la variante utilizada, ofrece a sus usuarios una interfaz de línea de comandos que puede utilizarse para comunicarse con las API de backend del proveedor de servicios elegido y orquestar ataques masivos de spam por SMS.
Esto también significa que los actores de la amenaza ya están en posesión de las claves API necesarias para acceder a los endpoints. Las solicitudes API manipuladas también incluyen el identificador del remitente, el contenido del mensaje y uno de los números de teléfono seleccionados de una lista predefinida presente en un archivo de texto.
Xeon Sender, además de sus métodos de envío de SMS, incorpora funciones para validar las credenciales de cuentas Nexmo y Twilio, generar números de teléfono para un código de país y un código de área determinados, y comprobar si un número de teléfono proporcionado es válido.
A pesar de la falta de delicadeza asociada a la herramienta, SentinelOne dijo que el código fuente está repleto de variables ambiguas como letras sueltas o una letra más un número para hacer la depuración mucho más difícil.
«Xeon Sender utiliza en gran medida bibliotecas Python específicas del proveedor para elaborar las solicitudes API, lo que presenta interesantes desafíos de detección», dijo Delamotte. «Cada biblioteca es única, al igual que los registros del proveedor. Puede ser difícil para los equipos detectar el abuso de un servicio determinado.»
«Para defenderse de amenazas como Xeon Sender, las organizaciones deben vigilar la actividad relacionada con la evaluación o modificación de los permisos de envío de SMS o los cambios anómalos en las listas de distribución, como una gran carga de nuevos números de teléfono de destinatarios.»
Fuente: thehackernews