Una operación conjunta liderada por Microsoft y las autoridades internacionales de aplicación de la ley ha desmantelado una cadena de ataques de compromiso de correo electrónico empresarial (BEC) impulsada por el motor de fraude RedVDS. RedVDS funcionaba como una plataforma de "suscripción al cibercrimen" de bajo costo, proporcionando a los delincuentes máquinas virtuales desechables que parecían sistemas Windows normales en internet. Utilizando estos hosts alquilados, los actores de amenazas enviaron enormes volúmenes de correos fraudulentos

Una operación conjunta liderada por Microsoft y fuerzas del orden internacionales ha desmantelado una cadena de ataques de compromiso de correo empresarial (BEC) impulsada por el motor de fraude RedVDS.

RedVDS funcionaba como una plataforma de "suscripción al cibercrimen" de bajo costo, proporcionando a los delincuentes máquinas virtuales desechables que parecían sistemas Windows normales en internet.

Utilizando estos hosts alquilados, los actores de amenazas enviaban enormes oleadas de correos de phishing, alojaban portales falsos y orquestaban esquemas de desvío de pagos contra empresas de finanzas, bienes raíces, salud y manufactura.

La cadena de ataque era simple pero muy efectiva. Los criminales primero usaban las máquinas virtuales de RedVDS para enviar correos de phishing dirigidos que robaban credenciales de Microsoft 365 y otras plataformas de correo.

Una vez que obtenían acceso a los buzones, observaban discretamente conversaciones reales entre proveedores, clientes y equipos internos, esperando facturas, transferencias bancarias o instrucciones de cierre.

En el momento adecuado, inyectaban respuestas falsas con nuevos detalles bancarios, redirigiendo grandes pagos a cuentas que controlaban.

Analistas de Microsoft identificaron que RedVDS amplificaba este fraude combinando infraestructura de alto volumen con herramientas de IA que generaban textos de correo convincentes, mensajes de voz falsos e incluso videos deepfake.

En días pico, más de 2.600 máquinas virtuales de RedVDS enviaban alrededor de un millón de mensajes de phishing solo a clientes de Microsoft, ayudando a los criminales a comprometer o abusar del acceso a más de 191.000 organizaciones en todo el mundo.

El desmantelamiento coordinado incautó dominios de RedVDS, interrumpió sus canales de pago y eliminó un pilar central de este ecosistema de fraude.

Los investigadores también rastrearon el uso de RedVDS en desvíos de pagos en bienes raíces, donde buzones de correo secuestrados de agentes e inmobiliarias se usaban para enviar instrucciones falsas de cierre.

En muchos casos, las víctimas transferían sus ahorros de toda la vida a cuentas mula en cuestión de minutos tras recibir el mensaje falsificado.

Cómo operaba la cadena BEC de RedVDS

A nivel técnico, la cadena BEC seguía un guion repetible. Los actores de amenazas creaban o alquilaban una instancia de RedVDS, desplegaban herramientas básicas y accedían a buzones activos usando credenciales robadas.

Un patrón común incluía comprobaciones de inicio de sesión y escaneos de buzones automatizados:

for user in target_users:
    if login(user.email, user.passwd, proxy=redvds_host):
        for msg in inbox.search("invoice OR payment OR wire"):
            if "upcoming" in msg.body.lower():
                mark_as_watchlist(msg.thread_id)

Una vez que se marcaba un hilo de pago, el actor elaboraba una respuesta desde la cuenta comprometida, a menudo reutilizando firmas y pies de página reales:

fake_reply = build_reply(original_thread,
    body=new_bank_instructions,
    from_account=compromised_mailbox)
send(fake_reply, via=redvds_host)

Investigadores de Microsoft señalaron que este manual estructurado, combinado con nodos desechables de RedVDS, hacía que el fraude fuera fácil de escalar y difícil de rastrear.

La operación reciente demuestra que atacar la infraestructura criminal compartida, no solo cuentas individuales, es clave para reducir la superficie de ataque global de BEC.