Las estafas de compromiso de correo electrónico comercial adquieren una nueva dimensión con ataques de múltiples capas

En una campaña que explota las relaciones entre diferentes organizaciones, los atacantes lograron encadenar Business Email Compromise (BEC) contra cuatro o más organizaciones y saltar de una organización atacada a la siguiente explotando las relaciones entre ellas. El ataqueDenominado phishing Adversary-in-the-Middle (AiTM) de múltiples etapas por los investigadores de Microsoft, comenzó con un compromiso en un proveedor confiable y organizaciones específicas en los sectores de servicios bancarios y financieros.

«Este ataque demuestra la complejidad de las amenazas AitM y BEC que abusan de las relaciones de confianza entre proveedores, proveedores y otras organizaciones asociadas con el fin de cometer fraude financiero», dijeron los investigadores de Microsoft.

Phishing con proxies indirectos

Suplantación de identidad AitM es una técnica ahora común para eludir los mecanismos de autenticación de múltiples factores basados ​​en códigos únicos que los usuarios ingresan manualmente durante las sesiones de inicio de sesión, independientemente de cómo se reciban: correo electrónico, SMS o generados por una aplicación de teléfono. La forma más común de realizar AitM es usar un proxy inverso, donde la víctima se conecta a un dominio y sitio web controlado por el atacante, que simplemente reenvía todo el contenido y las solicitudes posteriores desde la página de inicio de sesión genuina del servicio de destino.

En una de esas implementaciones de phishing, para la cual ahora hay disponibles kits de herramientas de código abierto, los atacantes asumen un rol de monitoreo pasivo sobre el tráfico entre la víctima y el servicio con el que se están autenticando. El objetivo es interceptar la cookie de sesión devuelta por el servicio después de completar la autenticación y luego abusar de ella para acceder directamente a la cuenta de la víctima. Sin embargo, esto también tiene desventajas para los atacantes cuando existen políticas adicionales que capturan y examinan otros aspectos de la computadora de la víctima, ya que el inicio de sesión posterior de un atacante podría desencadenar una alerta de seguridad y marcar la sesión como sospechosa.

En el nuevo ataque que observó Microsoft, los atacantes, a quienes la compañía rastrea bajo el nombre temporal Storm-1167, utilizaron un conjunto de herramientas de phishing personalizado que desarrollaron y que utiliza un método de proxy indirecto. Esto significa que la página de phishing configurada por los atacantes no muestra ningún contenido de la página de inicio de sesión real, sino que la imita como una página separada que está completamente bajo el control de los atacantes.

Cuando la víctima interactúa con la página de phishing, los atacantes inician una sesión de inicio de sesión con el sitio web real utilizando las credenciales proporcionadas por la víctima y luego solicitan el código MFA de la víctima mediante un aviso falso. Cuando se proporciona el código, los atacantes lo usan para su propia sesión de inicio de sesión y reciben la cookie de sesión directamente. Luego, la víctima es redirigida a un sitio falso. Esto está más en línea con los ataques de phishing tradicionales.