Microsoft ha revelado que las organizaciones bancarias y de servicios financieros son el objetivo de un nuevo ataque de phishing y BEC (business email compromise) en varias fases, perpetrado por un adversario en el medio (AiTM).
"El ataque se originó a partir de un proveedor de confianza comprometido y se transformó en una serie de ataques AiTM y actividad BEC de seguimiento que abarca múltiples organizaciones", reveló el gigante tecnológico en un informe el jueves.
Microsoft, que está rastreando el clúster bajo el nombre emergente de Storm-1167, señaló que el grupo utilizó un proxy indirecto para llevar a cabo el ataque.
Esto permitió a los atacantes adaptar con flexibilidad las páginas de phishing a sus objetivos y llevar a cabo el robo de cookies de sesión, lo que subraya la continua sofisticación de los ataques AitM.
El modus operandi es distinto al de otras campañas de AitM en las que las páginas señuelo actúan como proxy inverso para recopilar credenciales y contraseñas de un solo uso (TOTP) introducidas por las víctimas.
"El atacante presentaba a los objetivos un sitio web que imitaba la página de inicio de sesión de la aplicación objetivo, como en los ataques de phishing tradicionales, alojada en un servicio en la nube", dijo Microsoft.
"Dicha página de inicio de sesión contenía recursos cargados desde un servidor controlado por el atacante, que iniciaba una sesión de autenticación con el proveedor de autenticación de la aplicación objetivo utilizando las credenciales de la víctima".
Las cadenas de ataque comienzan con un correo electrónico de phishing que apunta a un enlace que, al ser pulsado, redirige a la víctima a visitar una página de inicio de sesión de Microsoft falsificada y a introducir sus credenciales y TOTPs.
Las contraseñas y cookies de sesión recopiladas se utilizan entonces para suplantar al usuario y obtener acceso no autorizado a la bandeja de entrada del correo electrónico mediante un ataque de repetición. A continuación, se abusa del acceso para hacerse con correos electrónicos confidenciales y orquestar un ataque BEC.
Además, se añade a la cuenta de destino un nuevo método de autenticación de dos factores basado en SMS para iniciar sesión con las credenciales robadas sin llamar la atención.
En el incidente analizado por Microsoft, el atacante habría iniciado una campaña de spam masivo, enviando más de 16.000 correos electrónicos a los contactos del usuario comprometido, tanto dentro como fuera de la organización, así como a listas de distribución.
También se ha observado al adversario tomar medidas para minimizar la detección y establecer la persistencia, respondiendo a los correos electrónicos entrantes y tomando posteriormente medidas para eliminarlos del buzón.
En última instancia, los destinatarios de los correos electrónicos de phishing son el objetivo de un segundo ataque AitM para robar sus credenciales y desencadenar otra campaña de phishing desde la bandeja de entrada de correo electrónico de uno de los usuarios cuya cuenta fue pirateada como resultado del ataque AitM.
"Este ataque muestra la complejidad de las amenazas AiTM y BEC, que abusan de las relaciones de confianza entre vendedores, proveedores y otras organizaciones asociadas con la intención de cometer fraude financiero", añadió la compañía.
Este hecho se produce menos de un mes después de que Microsoft advirtiera del aumento de los ataques BEC y de la evolución de las tácticas empleadas por los ciberdelincuentes, incluido el uso de plataformas, como BulletProftLink, para crear campañas de correo malicioso a escala industrial.
Según el gigante tecnológico, otra táctica consiste en utilizar direcciones IP residenciales para que las campañas de ataque parezcan generadas localmente.
"Los actores de amenazas BEC compran entonces direcciones IP de servicios IP residenciales que coinciden con la ubicación de la víctima, creando proxies IP residenciales que permiten a los ciberdelincuentes enmascarar su origen", explicó Redmond.
"Ahora, armados con un espacio de direcciones localizado para apoyar sus actividades maliciosas, además de nombres de usuario y contraseñas, los atacantes BEC pueden ocultar movimientos, eludir las banderas de "viaje imposible" y abrir una puerta de enlace para llevar a cabo más ataques."
Fuente: thehackernews