El engaño de navegador en navegador o "BitB" (Browser-in-the-Browser) es una técnica de phishing relativamente nueva que está comenzando a adquirir popularidad entre los ciberdelincuentes. Este método fue descubierto la pasada primavera y consiste en lanzar ventanas emergentes falsas dentro de la ventana activa, haciendo que parezcan una página emergente de inicio de sesión aparentemente legítima para que los usuarios introduzcan sus credenciales de acceso al servicio que se está suplantando y que parece el auténtico.

 Ya advertimos sobre esta novedosa y peligrosa técnica de phishing poco después de que viera la luz, cuando se estaba utilizando contra los usuarios de Google Chrome. Ahora, Steam se ha convertido en el último objetivo del método BitB en una campaña que amenaza a sus usuarios al intentar robar sus cuentas de la popular plataforma de videojuegos, según ha revelado la compañía de ciberseguridad Group-IB.

• https://blog.group-ib.com/steam

El hecho de que Steam use una ventana emergente para la autenticación del usuario en lugar de una nueva pestaña la ha situado como el blanco perfecto para este tipo de ciberataque, tal y como señala Group-IB en un informe publicado en el que detalla las particularidades de esta campaña que han descubierto.

Estos mensajes incluyen un enlace que les redirige a la supuesta página oficial de la oferta en cuestión, prácticamente indistinguible de una web legítima y en la que se les solicita que inicien sesión en su cuenta de Steam.

A diferencia de los recursos de phishing tradicionales, que abren páginas web de phishing en una nueva pestaña (o redirigen a los usuarios a ellas), este tipo de recurso abre una ventana de navegador falsa en la misma pestaña para convencer a los usuarios de que es legítimo", subraya el informe.

Group-IB también destaca que estas páginas de phishing de BitB son un plagio de las auténticas. Supuestamente cuentan con Steam Guard, el nivel adicional de seguridad de la plataforma que opera con la autenticación en dos pasos del usuario. Asimismo, aparentemente disponen de un certificado SSL, permiten a los usuarios cambiar el idioma de la interfaz entre 27 diferentes y, en muchos casos, incluso incluyen un aviso sobre los datos que se guardan en un recurso de terceros.

Si los usuarios caen en la trampa e introducen sus credenciales, les aparece un nuevo formulario en el que se les piden que ingresen el código de autenticación de doble factor. Este código se crea utilizando una aplicación separada, que envía una notificación automática al dispositivo del usuario. Si facilita un código incorrecto, se muestra un mensaje de error mientras que si por el contrario la autenticación es exitosa, el usuario es redirigido a una página web generalmente legítima, para minimizar las posibilidades de que se dé cuenta que acaba de ser víctima de un ciberataque. Sus credenciales ya estarán en manos de los ciberdelincuentes, que podrán acceder a la cuenta y cambiar los datos de acceso para dificultar que su dueño pueda recuperar el control. Además, el principal objetivo de los ciberdelincuentes con esta campaña sería vender el acceso a las cuentas que consiguen comprometer, ya que una cuenta de Steam de un jugador profesional puede valer entre 100.000 y 300.000 dólares.

"A diferencia de los esquemas de phishing como servicio, que generalmente implican el desarrollo de kits de phishing para la venta, los kits de phishing de Steam se mantienen en secreto. Las campañas son realizadas por grupos de hackers que se reúnen en foros clandestinos o canales de Telegram y usan Telegram o Discord para coordinar sus acciones", apunta IB-Group, que también afirma haber informado de sus hallazgos a Valve, el desarrollador de Steam.

Fuentes:
https://www.escudodigital.com/ciberseguridad/nuevo-ciberataque-bitb-jaque-steam-amenaza-usuarios_52994_102.html