Un sofisticado campaña de phishing está atacando a planificadores de bodas y proveedores con malware de tipo stealer, disfrazado como reuniones de Microsoft Teams. Investigadores de seguridad destacan el uso de correos electrónicos legítimos comprometidos para generar confianza antes de distribuir las cargas maliciosas. Los actores de amenazas se hacen pasar por profesionales legales en correos enviados desde czimmerman@craigzlaw[.]com, un dominio vinculado a The Law Offices of Craig Zimmerman, un bufete real de protección al consumidor

Una campaña de phishing sofisticada está atacando a organizadores de bodas y proveedores con malware stealer disfrazado de reuniones de Microsoft Teams. Investigadores de seguridad destacan el uso de correos electrónicos legítimos comprometidos para generar confianza antes de entregar las cargas maliciosas.

Los actores de amenazas se hacen pasar por profesionales legales en correos enviados desde czimmerman@craigzlaw[.]com, un dominio vinculado a The Law Offices of Craig Zimmerman, un bufete real de protección al consumidor. Los mensajes incluyen detalles realistas como fechas de bodas, número de invitados y lugares para simular la coordinación con proveedores.

Tras intercambios de correos, las víctimas reciben un enlace fraudulento de Teams: https://teams.microsoft.com/l/meet/47018czL7LJ5PZQ6Cy, que invita a una videollamada para "calidad de video óptima".

Esta táctica explota la alta confianza en herramientas de colaboración, especialmente en un sector como el de bodas, donde hay mucha presión. Microsoft Security señaló en LinkedIn que este tipo de ataques parecen muy convincentes y evaden una revisión superficial. El abuso de Teams ha aumentado, con hackers usando chats para distribuir malware desde 2022.

Al hacer clic en el enlace, los usuarios son redirigidos a ussh[.]life/connect/teamsfinal/9/windows, un sitio malicioso que imita una página de descarga de Teams. Allí se insta a descargar ejecutables etiquetados para Windows, incluyendo una solicitud de "referencia del sistema". El análisis revela que el malware tiene comportamiento de stealer: los ejecutables probablemente roban credenciales, datos del navegador y tokens de sesión tras la infección.

El sitio emplea ingeniería social, imitando la marca oficial de Microsoft con mensajes como "¿Necesitas ayuda? Referencia del sistema". Las descargas evaden los antivirus básicos mediante ofuscación, algo común en info-stealers como los usados en campañas de DarkGate a través de Teams. Una vez ejecutados, los stealers envían los datos a servidores de comando y control (C2) de los atacantes, lo que permite tomar el control de cuentas para realizar más phishing.

Los señuelos con temática de bodas son similares a los del stealer para Android Tria, que usa invitaciones para robar SMS y correos, pero esta variante para Windows apunta a organizadores que trabajan en equipos de escritorio.

Indicadores de compromiso

• Correo: czimmerman@craigzlaw[.]com (dominio legítimo comprometido)
• URL de phishing: https://teams.microsoft.com/l/meet/47018czL7LJ5PZQ6Cy
• Servidor de malware: ussh[.]life/connect/teamsfinal/9/windows
• Código falso: fr6c (incrustado en la redirección)

Bloquea estos IOCs en tus firewalls y escanea con EDR en busca de tráfico anómalo en Teams.

Los objetivos incluyen proveedores de bodas en EE.UU., aprovechando las temporadas de mayor actividad. Los correos comprometidos de abogados sugieren que el acceso inicial pudo lograrse mediante phishing o relleno de credenciales en cuentas de M365. Las víctimas corren el riesgo de sufrir brechas de datos que expongan información personal de clientes, pagos y contratos.

Verifica los dominios de los remitentes y pasa el cursor sobre los enlaces de Teams antes de hacer clic. Activa Microsoft 365 ATP para restringir el acceso externo. Capacita a tu equipo sobre vishing mediante llamadas falsas. Usa autenticación sin contraseña y monitorea descargas inusuales desde herramientas de colaboración. Las empresas de bodas deberían segmentar las comunicaciones con proveedores y limitarse solo al correo electrónico.