Investigadores han identificado una nueva campaña de ataques denominada Unk_Sneakystrike, que utiliza un framework de código abierto llamado TeamFiltration. Esta herramienta se emplea para realizar pentesting y, en este caso, ha sido utilizada con fines maliciosos para acceder a cuentas de usuarios de Microsoft Entra ID.
Objetivo y alcance de la campaña
La campaña se dirigió a más de 80.000 cuentas en cientos de clientes en la nube, logrando acceder a cientos de organizaciones desde su inicio en diciembre de 2024. Los atacantes emplearon los servidores de API y Amazon Web Services (AWS) de Microsoft Teams ubicados en varias regiones geográficas para lanzar intentos de enumeración de cuentas y password-spraying.
La herramienta TeamFiltration
TeamFiltration, publicado públicamente por el investigador Melvin «Flangvik» Langvik, fue presentado en la Conferencia de Seguridad DefCon 30 en agosto de 2022. Se describe como un marco multiplataforma para «enumerating, spraying, exfiltrating, and backdooring cuentas de Entra ID».
La herramienta ofrece amplias capacidades para facilitar la adquisición de la cuenta utilizando ataques de password-spraying, exfiltración de datos y acceso persistente al cargar archivos maliciosos a la cuenta de Microsoft OneDrive del objetivo.
Requisitos y metodología
La herramienta requiere una cuenta de Amazon Web Services (AWS) y una cuenta desechable de Microsoft 365 para facilitar el spraying de contraseñas y las funciones de enumeración de la cuenta. Según Proofpoint, se observó evidencia de actividad maliciosa que aprovechó la filtración de equipo para realizar estas actividades, con cada onda de spray originada desde un servidor diferente en una nueva ubicación geográfica.
Actividad y distribución geográfica
En su punto máximo, la campaña dirigió a 16.500 cuentas en un solo día a principios de enero de 2025. Las tres geografías de fuentes principales vinculadas a la actividad maliciosa, según el número de direcciones IP, incluyen Estados Unidos (42%), Irlanda (11%) y Gran Bretaña (8%).
La actividad Unk_Sneakystrike se ha descrito como «intentos de enumeración de usuarios a gran escala en ráfagas altamente concentradas dirigidas a varios usuarios dentro de un entorno de una sola nube», seguido por una pausa que dura de cuatro a cinco días.
Los hallazgos resaltan cómo las herramientas diseñadas para ayudar a los profesionales de seguridad pueden ser mal utilizados por los actores de amenazas para llevar a cabo una amplia gama de acciones nefastas que les permiten violar las cuentas de los usuarios, cosechar datos confidenciales y establecer puntos de apoyo persistentes.