Cómo funciona el ataque 

 El kit opera en dos etapas. Primero, las víctimas reciben correos electrónicos de phishing con líneas de asunto engañosas como "Notificación de Contrato y Propuesta Segura" o "Solicitud de Restablecimiento de Contraseña". Cuando los usuarios hacen clic en el enlace, aterrizan en lo que parece ser una página web inofensiva. Oculto bajo la superficie, un iframe carga el contenido de phishing real desde un subdominio en constante cambio. Para evadir aún más la detección, los atacantes crean un subdominio único para cada objetivo. El kit también incluye funciones anti-análisis que bloquean el clic derecho, evitan los atajos de teclado y desactivan las herramientas de desarrollo, lo que hace que sea casi imposible para los analistas de seguridad o los usuarios curiosos inspeccionar la página.

GhostFrame incluye varias características sofisticadas. El formulario de phishing está oculto dentro de una función de transmisión de imágenes diseñada para archivos grandes, evitando los escáneres de seguridad estándar que buscan formularios de inicio de sesión tradicionales. El kit puede rotar subdominios durante una sesión activa e incluye copias de seguridad de iframes en caso de que JavaScript esté bloqueado.

Los atacantes pueden cambiar fácilmente el contenido de phishing sin alterar la página web principal, lo que les permite atacar múltiples regiones u organizaciones simultáneamente. El kit incluso imita servicios legítimos cambiando los títulos de las páginas y los iconos favoritos para que parezcan auténticos. Los expertos de Barracuda recomiendan una estrategia de defensa por capas. Las organizaciones deben aplicar actualizaciones periódicas del navegador, implementar pasarelas de seguridad de correo electrónico que detecten iframes sospechosos e implementar controles para restringir el uso de iframes en los sitios web. La formación de los empleados sigue siendo fundamental; los trabajadores deben verificar las URL antes de introducir sus credenciales y denunciar cualquier contenido incrustado sospechoso. A medida que GhostFrame continúa extendiéndose a nivel mundial, mantenerse vigilante e implementar soluciones integrales de seguridad de correo electrónico es esencial para proteger a los usuarios de esta amenaza en evolución.


Fuentes:
https://cybersecuritynews.com/new-ghostframe-super-stealthy-phishing-kit-attacks-millions-of-users-worldwide/