Microsoft, a través de su Unidad de Crímenes Digitales (DCU), se asoció con Cloudflare para desmantelar la red de phishing RaccoonO365, un servicio de phishing-as-a-service (PhaaS) utilizado para robar más de 5,000 credenciales de Microsoft 365 en 94 países desde julio de 2024. La DCU incautó 338 sitios web asociados con este servicio, gracias a una orden judicial del Distrito Sur de Nueva York. Esta acción interrumpió la infraestructura técnica de la operación y bloqueó el acceso de los criminales a las víctimas.
RaccoonO365 se comercializa a otros ciberdelincuentes bajo un modelo de suscripción, permitiéndoles lanzar ataques de phishing y recolección de credenciales a gran escala sin necesidad de conocimientos técnicos avanzados. Ofrecen planes de 30 y 90 días a cambio de $355 y $999 respectivamente. Los ataques imitan marcas confiables como Microsoft, DocuSign, SharePoint, Adobe y Maersk en correos electrónicos fraudulentos, engañando a los usuarios para que hagan clic en páginas falsas diseñadas para capturar sus credenciales de Microsoft 365. Estos correos electrónicos a menudo son precursores de malware y ransomware.
Una característica preocupante de RaccoonO365 es el uso de herramientas legítimas como Cloudflare Turnstile como CAPTCHA y la implementación de detección de bots y automatización a través de un script de Cloudflare Workers para proteger sus páginas de phishing. El cerebro detrás de RaccoonO365 se identifica como Joshua Ogundipe, con sede en Nigeria. Este, junto con sus asociados, han publicitado la herramienta en un canal de Telegram de 850 miembros, recibiendo al menos $100,000 en pagos de criptomonedas.
Cloudflare ha indicado que la eliminación de cientos de dominios y cuentas de Worker tiene como objetivo aumentar los costos operativos y advertir a otros actores maliciosos que puedan abusar de su infraestructura. Tras la interrupción, los operadores de RaccoonO365 han anunciado que están desechando todos los enlaces antiguos y compensarán a los usuarios afectados con una semana extra de suscripción tras la actualización.
Fuente original: Ver aquí