La Real Policía de Malasia, junto con la Policía Federal Australiana (AFP) y el Buró Federal de Investigaciones de Estados Unidos (FBI), llevó a cabo una operación el 6 de noviembre de 2023. Esta acción se basó en información que señalaba que los actores detrás de la plataforma tenían su base en el país.
Detenciones y incautaciones
Durante la operación, se logró la detención de ocho individuos cuyas edades oscilan entre 29 y 56 años. Entre ellos se encontraba el líder de la organización criminal. Las detenciones tuvieron lugar en diferentes ubicaciones de Sabah, Selangor, Perak y Kuala Lumpur.
Además de las detenciones, las autoridades incautaron servidores, ordenadores, joyas, vehículos y carteras de criptomonedas que contenían aproximadamente U$S 213.000.
Operación BulletProftLink
BulletProftLink (también conocido como BulletProofLink) es una plataforma que ofrece plantillas de phishing listas para usar mediante suscripciones, facilitando a otros actores llevar a cabo campañas de recolección de credenciales. Estas plantillas imitan las páginas de inicio de sesión de servicios populares como American Express, Bank of America, DHL, Microsoft y Naver.
En septiembre de 2021, un análisis de Microsoft reveló que los actores de BulletProftLink participaban en lo que se conoce como robo doble, enviando las credenciales robadas tanto a sus clientes como a los desarrolladores principales, generando así vías adicionales de monetización.
Relación con otros actores
Según Intel 471, BulletProftLink está asociado con el actor de amenazas AnthraxBP, quien también operaba bajo los seudónimos en línea TheGreenMY y AnthraxLinkers. Este actor mantenía un sitio web activo que anunciaba servicios de phishing y operaba en diversos foros clandestinos en la web y canales de Telegram, utilizando múltiples identificadores.
Se cree que BulletProftLink está activo desde al menos 2015, con su tienda en línea estimada en tener al menos 8.138 clientes activos y 327 plantillas de páginas de phishing hasta abril de 2023.
Metodologías innovadoras
Según Trend Micro, «Tales métodos innovadores pueden eludir las mitigaciones de seguridad de correo electrónico, ya que el enlace inicial parece provenir de una fuente legítima y no se entregan archivos al endpoint de la víctima. El documento alojado que contiene el enlace se puede interactuar a través del servidor de intercambio de archivos dentro del navegador».
Una característica destacada de BulletProftLink es su integración de Evilginx2 para facilitar ataques Adversary-in-The-Middle (AiTM), permitiendo a los actores de amenazas robar cookies de sesión y eludir protecciones de autenticación multifactor.
Impacto en la seguridad
Intel 471 subraya que esquemas de PhaaS como BulletProftLink proporcionan el combustible para más ataques, ya que las credenciales de inicio de sesión robadas son una de las principales vías mediante las cuales los hackers maliciosos obtienen acceso a las organizaciones.
Como indicador de que los actores de amenazas están adaptando constantemente sus tácticas en respuesta a interrupciones y adoptando enfoques más sofisticados, se han observado ataques AiTM que emplean enlaces intermedios a documentos alojados en soluciones de intercambio de archivos, como DRACOON, que contienen las URL a infraestructuras controladas por adversarios.