Una nueva plataforma de phishing llamada EvilProxy se está convirtiendo en una herramienta popular entre los ciberdelincuentes para atacar cuentas protegidas por autenticación multifactorial (MFA). Investigadores han observado que esta plataforma ha sido utilizada para enviar más de 120.000 correos electrónicos de phishing a más de cien organizaciones, con el objetivo de robar cuentas de Microsoft 365.
Una campaña masiva respaldada por EvilProxy
La investigación proviene de la empresa de ciberseguridad Proofpoint, que ha detectado un aumento significativo en los incidentes de adquisición de cuentas en la nube durante los últimos cinco meses. Estos ataques han afectado principalmente a ejecutivos de alto rango y se basan en una campaña masiva respaldada por EvilProxy.
EvilProxy combina técnicas como suplantación de identidad de marca, evasión de detección de bots y redirecciones abiertas. Esta plataforma permite a los atacantes realizar operaciones complejas de phishing con una mayor facilidad que otros frameworks similares.
Comparativa con herramientas tradicionales
Los grupos APT han utilizado proxies inversos durante mucho tiempo para eludir las protecciones MFA. Algunos emplean herramientas personalizadas, mientras que otros usan kits más fáciles de implementar como Modlishka, Necrobrowser y Evilginx2.
La diferencia clave entre estos frameworks y EvilProxy es que este último es mucho más simple de usar, ofrece tutoriales detallados, una interfaz gráfica fácil de manejar y una amplia selección de páginas de phishing clonadas para servicios populares.
Mecanismo de ataque
EvilProxy es una plataforma de phishing como servicio que emplea proxies inversos para transmitir solicitudes de autenticación entre el usuario objetivo y el sitio web legítimo. Al iniciar sesión, el servidor de phishing puede robar cookies de autenticación.
Dado que los usuarios ya deben pasar por desafíos de MFA al iniciar sesión, la cookie robada permite a los actores de amenazas eludir la autenticación multifactorial.
Operaciones y objetivos
Una campaña observada por Proofpoint desde marzo de 2023 utiliza EvilProxy para enviar correos electrónicos que se hacen pasar por marcas como Adobe, DocuSign y Concur. Los usuarios son redirigidos a través de sitios web legítimos hackeados, lo que ayuda a ocultar el correo electrónico del usuario.
La víctima finalmente llega a una página de phishing hecha a medida para la organización objetivo, que imita el tema de la empresa. Los atacantes emplean codificación especial en los correos electrónicos y utilizan sitios web hackeados para decodificar las direcciones de correo electrónico.
Características de la campaña
Los investigadores descubrieron que la última campaña redirige a los usuarios con una dirección IP turca a un sitio legítimo, lo cual podría indicar que la operación tiene su sede en Turquía.
Además, los atacantes son muy selectivos al priorizar objetivos «VIP», como ejecutivos de nivel C, directores ejecutivos y vicepresidentes. El 39% de las cuentas violadas pertenecían a este grupo, el 9% a directores financieros y el resto a empleados con acceso a información confidencial.
Una vez que una cuenta de Microsoft 365 se ve comprometida, los actores de amenazas agregan su propio método de autenticación multifactorial para establecer la persistencia en la cuenta.
Riesgos y recomendaciones
Los kits de phishing basados en proxies inversos, como EvilProxy, son una amenaza creciente que permite a los atacantes realizar operaciones de phishing de alta calidad a gran escala. Estas herramientas eluden las medidas de seguridad y la protección de la cuenta.
Las organizaciones deben mejorar su conciencia de seguridad, implementar reglas de filtrado de correo electrónico más estrictas y adoptar claves físicas basadas en FIDO para protegerse contra este tipo de amenazas.