Campaña de phishing suplanta identidad de Samsung, Adobe y Oxford: Check Point
La compañía informó sobre una campaña de phishing ideada para obtener los datos corporativos almacenados en las cuentas de Microsoft Office 365.
Para evitar el software de seguridad, los cibercriminales suplantaban la identidad de empresas como la Universidad de Oxford, Adobe y Samsung con el objetivo de generar confianza. Un 43% de las compañías afectadas eran europeas, mientras que el resto se repartía entre Asia y Oriente Medio, detalló Check Point.
Agregó que los cibercriminales consiguieron apropiarse del servidor de correo electrónico de la Universidad de Oxford para enviar emails maliciosos a las víctimas. Dichos correos incluían enlaces que redireccionaban a un servidor de Adobe utilizado por Samsung hasta entonces, permitiendo a los hackers aprovechar el aspecto visual de un dominio legítimo de Samsung para engañar con éxito. En última instancia, los afectados eran conducidos por un engañoso procedimiento para compartir sus credenciales de inicio de sesión en Office 365.
Secuestrado el servidor de correo electrónico de Oxford
La compañía indicó que principios de abril de 2020, sus investigadores comenzaron a analizar los correos electrónicos enviados a potenciales víctimas con el título «Office 365 Voice Mail». Estos e-mails avisaban que un mensaje de voz estaba pendiente en el buzón de voz de la víctima, lo que llevaba a los usuarios a hacer clic en un botón que supuestamente los llevaría a su cuenta de Office 365. Sin embargo, al hacerlo, eran redirigidas a una página de phishing que se hacía pasar por la web oficial de inicio de sesión de Office 365.
La procedencia de la mayor parte de los correos electrónicos eran direcciones múltiples pertenecientes a subdominios legítimos de diferentes departamentos de la Universidad de Oxford. Los asuntos de los emails muestran que los hackers encontraron una forma de utilizar uno de los servidores SMTP (protocolo de transferencia de correo simple) de Oxford, una aplicación cuyo propósito principal es enviar, recibir y/o tomar el relevo del flujo de correo saliente entre los remitentes y los receptores de los emails. El uso de los servidores SMTP legítimos de Oxford permitió a los cibercriminales burlar el control de verificación de seguridad.
Redirigir desde una URL de confianza de Samsung
Durante el año pasado, las campañas de phishing han utilizado las redirecciones abiertas de Google y Adobe para que las URLs utilizadas en los correos electrónicos de spam generasen mayor confianza. Un redireccionamiento abierto es una URL en un sitio web que cualquiera puede utilizar para dirigir a los usuarios a otra página web diferente. En este caso, el destino final era un servidor de Adobe previamente utilizado por Samsung durante una campaña de marketing de Cyber Monday 2018. En otras palabras, el enlace incrustado en el correo electrónico original de phishing es parte del origen del dominio de confianza de Samsung, el cuál redirige a las víctimas a un sitio web bajo el control de los cibercriminales. Al utilizar el formato de enlace específico de la campaña de Adobe y un dominio legítimo, los atacantes aumentan las posibilidades de que el correo electrónico no tuviera problemas para pasar a través de las medidas de seguridad que analizan la veracidad de los enlaces, las listas negras y los patrones de URL, detalló el desarrollador.
«Lo que en un principio parecía ser una campaña de phishing de Office 365, resultó ser una estrategia: usar marcas conocidas y con buena reputación para burlar las medidas de seguridad que le separan de las víctimas. Es una técnica para entrar dentro de una red corporativa. El acceso al correo de la empresa permite a los cibercriminales un acceso ilimitado a actividades como transacciones, informes financieros, contraseñas e incluso direcciones de los activos en la nube. Para llevar a cabo el ataque, un cibercriminal tuvo que acceder a los servidores de Samsung y Oxford, lo que significa que tuvo tiempo de entender su funcionamiento interno, y, por tanto, pasar desapercibido», explica Eusebio Nieva, director técnico de Check Point para España y Portugal.
Protección frente a este tipo de ciberamenazas
Recomendaciones para evitar ser una nueva víctima de estos ciberataques:
- Usar contraseñas distintas para las aplicaciones en la nube: al hacerlo, el resto de los activos están protegidos incluso aunque la seguridad de uno de ellos se haya visto comprometida.
- Utilizar herramientas de seguridad cloud y para el email: el hecho de que este tipo de campañas proliferen pone de manifiesto la facilidad con la que se puede evitar ser detectado por medidas de seguridad nativas. Por este motivo, desde Check Point recomiendan implementar soluciones de seguridad cloud y específicas para el correo electrónico que eliminen aquellas amenazas que tratan de infiltrarse en este servicio y proteger así la infraestructura cloud.
- No introducir credenciales en momentos en los que no suele hacerse: a menudo, esto puede ser un intento de phishing enmascarado.
WhatsApp eSemanal 55 7360 5651
