Una campaña de phishing denominada CSuite está activamente comprometida en el robo de sesiones de Microsoft 365 y el despliegue de herramientas de gestión remota (RMM) para obtener acceso persistente a los sistemas de las organizaciones. Los investigadores de ANY.RUN identificaron que esta campaña se enfoca predominantemente en empresas de Estados Unidos, aunque sus tácticas son aplicables globalmente. Los sectores más expuestos incluyen tecnología, manufactura, gobierno y consultoría.
El ataque CSuite comienza con correos de phishing que imitan servicios empresariales comunes como Adobe, DocuSign, Zoom, Google Meet, Dropbox y el propio Microsoft 365. Una vez que la víctima interactúa con el señuelo, la operación puede tomar dos caminos. El primero implica la entrega de instaladores, archivos comprimidos o scripts (BAT/VBS) que instalan herramientas RMM legítimas como ScreenConnect o Action1, otorgando a los atacantes acceso remoto al endpoint del usuario.
El segundo camino se centra en el robo de identidad. Las víctimas son dirigidas a páginas de recolección de credenciales o flujos de phishing de código de dispositivo diseñados para capturar el acceso a Microsoft 365 y las sesiones activas. Esta combinación permite a los atacantes controlar tanto las cuentas empresariales como los dispositivos de los empleados, lo que puede derivar en el secuestro de buzones de correo, fraudes financieros, acceso remoto persistente, propagación interna del ataque y una mayor complejidad en la respuesta a incidentes.
Para mitigar el riesgo de campañas como CSuite, es crucial implementar una estrategia de seguridad que abarque múltiples frentes. Las organizaciones deben enfocarse en obtener visibilidad completa de la cadena de ataque, desde el señuelo inicial hasta la ejecución de scripts y la instalación de payloads. Esto incluye el monitoreo de la actividad del navegador y del endpoint. Adicionalmente, es fundamental expandir la visibilidad sobre la actividad de amenazas relacionadas mediante inteligencia de amenazas, integrando Indicadores de Compromiso (IoC) actualizados en los controles de seguridad existentes como SIEM, EDR y firewalls para automatizar la detección. Finalmente, es importante contar con informes de investigación estructurados que agilicen la toma de decisiones y la escalada de incidentes.
Qué significa para tu empresa: Ataques multifacéticos como CSuite, que combinan el phishing con el robo de sesiones y el despliegue de herramientas de acceso remoto, subrayan la necesidad de una defensa robusta y adaptativa. En Ingeniería Telemática S.A.S., comprendemos que la clave está en una seguridad gestionada por capas. Esta aproximación integral, potenciada por tecnologías de vanguardia de partners como Fortinet, incluye la protección avanzada del firewall perimetral NGFW, la protección de endpoints EDR/XDR para neutralizar amenazas en los dispositivos, la protección del correo como primera línea de defensa contra el phishing, y un SOC con monitoreo 24/7 para una detección y respuesta proactiva. Además, fortalecemos sus defensas con soluciones de identidad y MFA para asegurar el acceso a sus plataformas de productividad y colaboración segura como Microsoft 365, haciendo de su infraestructura una fortaleza inexpugnable.
Fuente original: The Hacker News — ver artículo →