Investigadores de ciberseguridad han alertado sobre la existencia de nuevas campañas de phishing que utilizan un kit de herramientas denominado Rockstar 2FA, ofrecido como servicio (PhaaS). Este kit se emplea para robar credenciales de cuentas de Microsoft 365, lo cual representa una amenaza significativa en el ámbito de la seguridad digital.
Características del kit Rockstar 2FA
Rockstar 2FA es una versión actualizada del kit PhaaS DadSec (también conocido como Phoenix). Microsoft está investigando a los desarrolladores y distribuidores de esta plataforma bajo el nombre Storm-1575.
El kit se promociona a través de servicios como ICQ, Telegram y Mail.ru bajo un modelo de suscripción que cuesta U$S 200 por dos semanas o U$S 350 por un mes. Esto permite a los cibercriminales con poca experiencia técnica lanzar campañas a gran escala.
Entre las características promocionadas se incluyen la omisión de la autenticación multifactor (MFA), la recolección de cookies de 2FA, protección antibots, temas que imitan servicios populares y enlaces totalmente indetectables (FUD). Además, el kit incorpora integración con bots de Telegram.
El sistema también incluye un panel de administración moderno y fácil de usar, que permite a los clientes rastrear el estado de sus campañas, generar URLs y archivos adjuntos, así como personalizar temas para enlaces creados.
Mecanismos de ataque
Las campañas detectadas por Trustwave emplean diversos vectores de acceso inicial, como URL, códigos QR y archivos adjuntos de documentos. Los correos electrónicos utilizan plantillas de señuelo que van desde notificaciones de intercambio de archivos hasta solicitudes de firmas electrónicas.
Además, el kit incorpora controles antibot que utilizan Cloudflare Turnstile para evitar la detección antispam. También se emplean redireccionadores de enlaces legítimos como URL acortadas o servicios de protección de URL para dificultar la identificación de las páginas de phishing.
Simulación de plataformas confiables
Trustwave señaló que la plataforma utiliza servicios legítimos como Atlassian Confluence, Google Docs Viewer, LiveAgent y Microsoft OneDrive, OneNote y Dynamics 365 Customer Voice para alojar los enlaces de phishing. Esto refleja el uso de plataformas confiables para engañar a los usuarios.
El diseño de las páginas de phishing se parece mucho al de la marca que se está imitando, aunque con ofuscaciones aplicadas al código HTML. Todos los datos ingresados por el usuario se envían inmediatamente al servidor AiT M, y las credenciales exfiltradas se utilizan para recuperar la cookie de sesión de la cuenta objetivo.
Conexión con otras campañas de phishing
La revelación se produce cuando Malwarebytes detalló una campaña denominada Beluga, que emplea archivos adjuntos .HTM para engañar a los usuarios y hacerlos ingresar sus credenciales de Microsoft OneDrive en un formulario falso, que luego se exfiltra a un bot de Telegram.
Además, se ha descubierto que los enlaces de phishing y anuncios engañosos de juegos de apuestas promueven aplicaciones de adware como MobiDash, así como aplicaciones financieras fraudulentas que roban datos personales y dinero bajo el pretexto de prometer ganancias rápidas.
Los juegos de apuestas anunciados se presentan como oportunidades legítimas de ganar dinero, pero están diseñados para engañar a los usuarios para que depositen fondos, que tal vez nunca vuelvan a ver. Las víctimas pueden sufrir pérdidas financieras significativas, y algunas informan de pérdidas de más de 10.000 dólares estadounidenses.