Investigadores han identificado una nueva forma de ataque de phishing denominada CoPhish. Este método se basa en el uso de agentes personalizados dentro de la plataforma Microsoft Copilot Studio.
Funcionamiento del ataque CoPhish
Los atacantes pueden obtener tokens OAuth sin que el usuario sea consciente del engaño. La técnica CoPhish fue descubierta por Datadog Security Labs. Se fundamenta en el uso malicioso de agentes personalizados de Copilot Studio.
Los atacantes pueden presentarse en dominios auténticos de Microsoft. A través de la función 'demo website', los atacantes crean chatbots con temas manipulados para iniciar flujos de autenticación. El atacante puede vincular el botón de inicio de sesión del bot a una aplicación fraudulenta.
Riesgos asociados al ataque
Los atacantes recolectan el token de sesión gracias a una redirección a un recurso controlado (por ejemplo, una URL de Burp Collaborator). CoPhish permite robar el access token OAuth del usuario autenticado sin que este reciba ninguna alerta.
El principal riesgo es el robo de tokens OAuth. Los atacantes pueden acceder a servicios y datos corporativos como si fueran el usuario víctima. Este ataque es especialmente grave cuando afecta a Application Administrators.
Impacto potencial del ataque
Application Administrators pueden consentir permisos de aplicaciones internas y externas, abriendo la puerta a movimientos laterales y escaladas de privilegio dentro del entorno. La dificultad para reconocer el engaño se ve aumentada por el uso de URLs legítimas de Microsoft.
Recomendaciones de mitigación
Microsoft y Datadog recomiendan reforzar las políticas de consentimiento de aplicaciones. Es esencial limitar privilegios administrativos y deshabilitar la creación de aplicaciones por defecto para usuarios.
Se debe monitorizar los eventos de consentimiento en Entra ID y en la creación de agentes Copilot Studio. Establecer gobernanza estricta y educación para la detección de símbolos inusuales (como iconos no habituales) pueden reducir el riesgo.
Conclusión
La sofisticación de CoPhish pone de manifiesto la necesidad de vigilancia activa sobre las integraciones y permisos en entornos Cloud.