Una reciente campaña de phishing masiva está comprometiendo cuentas de Microsoft 365 mediante técnicas de Adversary-in-the-Middle (AitM) para robar credenciales y códigos de autenticación multifactor (MFA). El objetivo de estos atacantes es identificar personal clave en finanzas y recursos humanos, para luego recolectar correos electrónicos relacionados con pagos y nóminas. Esta campaña ha afectado a cientos de organizaciones en diversos sectores como salud, educación, manufactura, gobierno y servicios profesionales, y se vincula a los ataques “Payroll Pirate” (también conocidos como Storm-2755 y Storm-2657 por Microsoft).
Los atacantes inician el proceso con correos electrónicos de phishing que simulan ser mensajes de buzón de voz. Estos correos dirigen a las víctimas a páginas de engaño AitM que actúan como un proxy para el flujo de autenticación legítimo de Microsoft, capturando las credenciales y los códigos MFA en tiempo real. Para evadir los filtros de seguridad basados en reputación, la cadena de redirección de estas URL maliciosas utiliza servicios confiables y legítimos como Google Meet, Google Ads y Amazon S3. Adicionalmente, las páginas de phishing realizan un “fingerprinting” del navegador de la víctima, recopilando detalles como el sistema operativo, el idioma y la zona horaria, para luego redirigir a un endpoint de autenticación de Microsoft.
Una vez obtenido el acceso inicial, los atacantes utilizan proxies residenciales para disfrazar sus inicios de sesión maliciosos como tráfico de usuario normal. Frecuentemente, estos accesos se originan desde el mismo país de la víctima para eludir controles de seguridad basados en la ubicación IP. Se ha observado que algunos de estos inicios de sesión presentan combinaciones inusuales de navegador y sistema operativo, como versiones móviles de Safari o Chrome en Windows 10. La actividad maliciosa se mantiene de forma automatizada a intervalos de aproximadamente ocho horas, utilizando diferentes agentes de usuario (ej. Firefox o Python Requests) pero reteniendo la misma ID de sesión. Los actores de amenaza abusan de la API de Microsoft Graph para enumerar usuarios de nómina, recursos humanos y finanzas, y acceder a correos electrónicos sensibles como facturas, pagos, beneficios y documentos internos, evitando acciones que podrían generar alertas, como cambios de MFA o creación de reglas de bandeja de entrada.
Dado que este incidente se trata de un ataque de phishing y no de una vulnerabilidad de software, no existen parches directos de seguridad que aplicar. Las mitigaciones se centran en la prevención y la detección proactiva. Es fundamental implementar una protección robusta del correo electrónico para identificar y bloquear estos mensajes de phishing antes de que lleguen a los usuarios finales. Aunque las técnicas AitM pongan a prueba la Autenticación Multifactor (MFA), esta sigue siendo una capa de seguridad vital que debe estar activada y configurada correctamente. La capacitación constante de los empleados sobre cómo reconocer intentos de phishing y las mejores prácticas de ciberseguridad es una defensa indispensable.
Qué significa para tu empresa: Este tipo de ataque sofisticado, que evade los controles tradicionales y la MFA, resalta la necesidad de una estrategia de seguridad proactiva y de múltiples capas. La detección temprana de actividades anómalas, como inicios de sesión desde proxies residenciales, combinaciones inusuales de navegador/SO, o el uso indebido de APIs legítimas, es crucial para limitar el impacto. Un SOC con monitoreo 24/7 es esencial para analizar logs de seguridad, identificar patrones de ataque como los descritos, y responder rápidamente a incidentes, minimizando el riesgo de compromiso de cuentas críticas en plataformas como Microsoft 365.
Fuente original: The Hacker News — ver artículo →