¡Tu dinero peligra! Microsoft descubre un ataque masivo a usuarios de varios gigantes bancarios

En un informe publicado el jueves, Microsoft reveló que las organizaciones bancarias y financieras son el objetivo de un nuevo ataque de phishing y compromiso de correo electrónico empresarial (BEC, por sus siglas en inglés) en varias etapas, conocido como adversario-en-el-medio (AitM).

El gigante tecnológico señaló que el ataque se originó a partir de un proveedor de confianza comprometido y evolucionó hacia una serie de ataques AitM y actividades BEC que afectaron a múltiples organizaciones.

Microsoft detecta un potente ataque a entidades bancarias

Microsoft, que está siguiendo de cerca este grupo bajo el nombre emergente Storm-1167, destacó el uso de un proxy indirecto por parte del grupo para llevar a cabo el ataque.

Esto permitió a los atacantes adaptar de manera flexible las páginas de phishing a sus objetivos y llevar a cabo el robo de cookies de sesión, lo que subraya la continua sofisticación de los ataques AitM.

El modus operandi de este ataque es diferente al de otras campañas de AitM, donde las páginas señuelo actúan como un proxy inverso para recopilar credenciales y contraseñas de un solo uso basadas en el tiempo (TOTPs, por sus siglas en inglés) ingresadas por las víctimas.

El atacante presentó a los objetivos un sitio web que imitaba la página de inicio de sesión de la aplicación objetivo, como en los ataques de phishing tradicionales, alojada en un servicio en la nube.

Microsoft

"Dicha página de inicio de sesión contenía recursos cargados desde un servidor controlado por el atacante, que iniciaba una sesión de autenticación con el proveedor de autenticación de la aplicación objetivo utilizando las credenciales de la víctima", agregó Microsoft.

Las cadenas de ataque comienzan con un correo electrónico de phishing que redirige a la víctima a una página falsa de inicio de sesión de Microsoft, donde se le solicita que ingrese sus credenciales y TOTPs.

Las contraseñas y las cookies de sesión recopiladas se utilizan para suplantar al usuario y obtener acceso no autorizado a la bandeja de entrada de correo electrónico mediante un ataque de repetición. Luego, este acceso se utiliza para hacerse con correos electrónicos sensibles y llevar a cabo un ataque BEC.

Además, se agrega un nuevo método de autenticación de dos factores basado en mensajes de texto a la cuenta objetivo para iniciar sesión utilizando las credenciales robadas sin llamar la atención.

Un ataque masivo de 16,000 correos

En el incidente analizado por Microsoft, se informa que el atacante inició una campaña de spam masiva, enviando más de 16,000 correos electrónicos a los contactos del usuario comprometido, tanto dentro como fuera de la organización, así como a listas de distribución.

También se observó que el adversario tomó medidas para minimizar la detección y establecer persistencia al responder a los correos electrónicos entrantes y luego tomar medidas para eliminarlos del buzón.

En última instancia, los destinatarios de los correos electrónicos de phishing son objeto de un segundo ataque AitM para robar sus credenciales y desencadenar otra campaña de phishing desde la bandeja de entrada de correo electrónico de uno de los usuarios cuya cuenta fue hackeada como resultado del ataque AitM.

"Este ataque muestra la complejidad de las amenazas AitM y BEC, que abusan de las relaciones de confianza entre proveedores, proveedores de servicios y otras organizaciones asociadas con el objetivo de cometer fraudes financieros", agregó la compañía.

Este descubrimiento se produce menos de un mes después de que Microsoft advirtiera sobre un aumento en los ataques BEC y las tácticas en evolución utilizadas por los ciberdelincuentes, incluido el uso de plataformas como BulletProftLink para crear campañas de correo malicioso a gran escala.

Otra táctica implica el uso de direcciones de protocolo de Internet (IP) residenciales para que las campañas de ataque parezcan generadas localmente, explicó el gigante tecnológico.

Los actores de amenazas BEC compran direcciones IP de servicios residenciales IP que coinciden con la ubicación de la víctima, creando así proxies IP residenciales que permiten a los ciberdelincuentes ocultar su origen.

Redmond.