Una reciente alerta de cazadores de amenazas detalla una campaña de robo de datos y extorsión que tiene como objetivo a ejecutivos, directores y vicepresidentes. Estos ataques se centran en Microsoft 365 y otras ofertas de software como servicio (SaaS), utilizando una combinación de ingeniería social y técnicas técnicas avanzadas. La campaña, conocida como PREY-0058 por Arctic Wolf, involucra la suplantación de personal de soporte de TI, el robo de tokens de sesión mediante ataques Adversary-in-the-Middle (AitM) y el uso de proxies residenciales para iniciar sesión de forma fraudulenta.
El modus operandi comienza con llamadas telefónicas, conocidas como vishing (phishing por voz), donde los atacantes se hacen pasar por personal de TI interno. Dirigen a las víctimas a URLs de autenticación falsas que imitan dominios legítimos. Una vez en el sitio fraudulento, los ejecutivos son sometidos a un flujo de inicio de sesión de Microsoft 365 controlado por el atacante, diseñado para cosechar sus credenciales y obtener aprobaciones de autenticación multifactor (MFA). Un ataque AitM permite al atacante interponerse entre el usuario y el servicio legítimo, interceptando y manipulando la comunicación, incluyendo el robo de tokens de sesión.
Estos tokens robados son posteriormente utilizados en ataques de reproducción de sesión, originados desde infraestructuras de proxy, lo que les permite simular inicios de sesión legítimos desde ubicaciones geográficas y redes que coinciden con las de la víctima. Tras el acceso inicial, los atacantes realizan un reconocimiento exhaustivo en SharePoint y Entra ID (anteriormente Azure AD) para identificar cuentas y aplicaciones disponibles. La fase final implica la recopilación y exfiltración masiva de datos de SharePoint, OneDrive, Exchange y Box, culminando en demandas de extorsión a las víctimas. Cabe destacar que estos ataques no implican el despliegue de malware en los endpoints ni movimientos laterales a nivel de red.
Para contrarrestar esta amenaza, las organizaciones deben implementar políticas de Acceso Condicional robustas y desplegar sistemas de MFA que sean resistentes al phishing. Es fundamental restringir el alcance de los datos a los que los usuarios pueden acceder en SharePoint y OneDrive. Además, la educación continua de los empleados y del personal del centro de ayuda sobre los riesgos del vishing y la suplantación de identidad es una capa de defensa crítica. También se recomienda monitorizar activamente para detectar actividad anómala, como la reproducción de tokens desde proxies residenciales o accesos masivos inusuales en SharePoint.
Qué significa para tu empresa: Este tipo de ataque sofisticado subraya que la ciberseguridad no es solo una cuestión tecnológica, sino también humana. La combinación de ingeniería social y técnicas avanzadas como el robo de tokens de sesión demuestra la necesidad de una defensa multicapa. La detección temprana de actividades anómalas, como inicios de sesión desde ubicaciones inusuales o exfiltraciones masivas, es vital para mitigar el impacto. Para proteger su entorno de Microsoft 365 contra estas amenazas persistentes, la implementación de un SOC con monitoreo 24/7 es crucial para identificar y responder a tiempo ante cualquier indicio de compromiso, incluso si los atacantes logran evadir el MFA inicial.
Fuente original: The Hacker News — ver artículo →