La mayor铆a de las campa帽as de phishing se basan en una p谩gina web alojada que las herramientas de seguridad pueden recuperar, analizar, categorizar y, finalmente, bloquear. En lugar de enviar una p谩gina de phishing desde un servidor web, el contenido malicioso se ensambla dentro del navegador de la v铆ctima utilizando una URL de blob, una URL temporal generada por el navegador que apunta a contenido almacenado localmente en la memoria en lugar de en un sitio web.
Para cuando aparece la p谩gina de phishing, la v铆ctima ya ha sido redirigida a trav茅s de servicios leg铆timos de Microsoft, incluidos Microsoft OAuth y Microsoft Teams, con pocas indicaciones visibles de que se est茅 produciendo algo malicioso.
驴Qu茅 hace que este ataque sea diferente?
A diferencia de las campa帽as de phishing convencionales que se basan en un sitio web similar alojado en un servidor, este ataque utiliza una arquitectura residente en el navegador dise帽ada para reducir su visibilidad tanto para los usuarios como para las herramientas de seguridad.
- No hay ninguna p谩gina de phishing que bloquear. El contenido de phishing nunca se muestra como una p谩gina web convencional. En cambio, se genera a partir de una URL virtual dentro del navegador de la v铆ctima. Dado que la p谩gina solo existe durante esa sesi贸n del navegador, no hay una URL de phishing persistente que las herramientas de seguridad puedan recuperar, analizar o bloquear con antelaci贸n.
- Servicios de Microsoft de confianza a lo largo de toda la cadena de ataque. En lugar de dirigir a las v铆ctimas a un sitio web obviamente sospechoso, el ataque las redirige a trav茅s de la infraestructura leg铆tima de Microsoft, incluyendo login.microsoftonline.com y Microsoft Teams. Dado que la navegaci贸n visible se mantiene dentro de los servicios de Microsoft de confianza, es menos probable que los usuarios y los esc谩neres automatizados identifiquen la actividad como maliciosa.
- Ejecuci贸n de phishing basada en el navegador. Una vez que se carga la p谩gina de phishing basada en blobs, se registra un service worker y se ejecuta parte del flujo de trabajo dentro de un iframe aislado. En conjunto, estos componentes ayudan a gestionar las solicitudes, controlar la navegaci贸n y coordinar la experiencia de phishing desde la propia sesi贸n del navegador.
- Control din谩mico del atacante. La p谩gina de phishing recibe instrucciones de la infraestructura de backend mediante mecanismos de mensajer铆a del navegador. Dado que el flujo de trabajo se controla din谩micamente en lugar de mediante redirecciones predefinidas, los operadores pueden modificar los destinos y el comportamiento en tiempo real.
- Mayor legitimidad. El correo electr贸nico incluye un archivo de invitaci贸n de calendario como archivo adjunto inofensivo. Si bien no forma parte del contenido malicioso, contribuye a que el mensaje parezca una comunicaci贸n empresarial rutinaria y puede aumentar la confianza del destinatario.
Flujo de ataque
1. La v铆ctima recibe un correo electr贸nico con el tema de DocuSign.
2. Se adjunta un archivo de invitaci贸n de calendario al correo electr贸nico. No parece malicioso, ya que apunta a un punto final OAuth leg铆timo de Microsoft. Se incluye para que el correo electr贸nico parezca una invitaci贸n normal a una reuni贸n de negocios o a un calendario.
3. Un par谩metro de redireccionamiento dise帽ado dirige al usuario a Microsoft Teams.
4. Microsoft Teams carga un recurso externo alojado en cdn.bloom[.]io.
5. El navegador convierte ese contenido en una URL de tipo blob.
6. La URL del blob renderiza la p谩gina de phishing localmente dentro del navegador.
7. Los service workers, los iframes y los controles de backend gestionan el flujo de trabajo de phishing y la navegaci贸n del usuario.
8. La configuraci贸n oculta de comando y control demuestra que no se trata de una p谩gina independiente, sino que forma parte de una plataforma de phishing gestionada que puede ser operada, actualizada y dirigida de forma centralizada a muchas v铆ctimas a la vez.
Conoce m谩s en el siguiente video
En conjunto, estos mecanismos proporcionan al atacante un control en tiempo real sobre el flujo de trabajo de phishing dentro de la sesi贸n del navegador de la v铆ctima, lo que permite un nivel de flexibilidad y evasi贸n que no suele verse en las p谩ginas de phishing est谩ticas.
Detecci贸n y defensa
Esta campa帽a demuestra c贸mo el phishing est谩 evolucionando m谩s all谩 de los sitios web falsos y los dominios sospechosos, y c贸mo est谩 reduciendo muchos de los indicadores en los que los equipos de seguridad se han basado tradicionalmente para la detecci贸n.
Las organizaciones deben centrarse en identificar comportamientos maliciosos y controles de identidad en lugar de simplemente bloquear URL de phishing conocidas. Las principales medidas defensivas incluyen:
- Supervisar los flujos de autorizaci贸n de OAuth y las cadenas de redireccionamiento para detectar destinos inusuales o inesperados.
- Inspeccionar la actividad del navegador relacionada con URL de tipo blob, especialmente cuando se utilizan para renderizar p谩ginas de inicio de sesi贸n o flujos de trabajo de autenticaci贸n.
- Detecci贸n de registros sospechosos de trabajadores de servicios asociados con contenido de origen externo.
- Aplicar m茅todos de autenticaci贸n multifactor resistentes al phishing, como las claves de seguridad FIDO2 y las contrase帽as.
- Utilizar controles de seguridad de correo electr贸nico que analicen la ruta completa de clics en lugar de basarse 煤nicamente en la URL inicial.
- Capacitar a los usuarios para que tengan cuidado con las solicitudes inesperadas de firma de documentos, incluso cuando los enlaces parezcan utilizar la infraestructura de confianza de Microsoft.
A medida que los atacantes trasladan cada vez m谩s sus m茅todos de phishing al propio navegador, los defensores deber谩n prestar mayor atenci贸n a la protecci贸n de la identidad , la seguridad del navegador y la detecci贸n de comportamientos maliciosos. El desaf铆o ya no reside simplemente en identificar un sitio web malicioso. En campa帽as como esta, la p谩gina de phishing puede no existir en ning煤n otro lugar que no sea el navegador de la v铆ctima.
Deja tu comentario