Los ciberdelincuentes están lanzando una peligrosa campaña de phishing que engaña a los usuarios para que revelen sus credenciales de inicio de sesión suplantando a Dropbox. Este ataque utiliza un enfoque de múltiples etapas para eludir los controles de seguridad del correo electrónico y los escáneres de contenido. Los actores de amenazas explotan plataformas en la nube de confianza y archivos PDF de apariencia inofensiva para crear una cadena de engaño que lleva a las víctimas a un sitio falso

Los ciberdelincuentes están lanzando una peligrosa campaña de phishing que engaña a los usuarios para que revelen sus credenciales de inicio de sesión suplantando a Dropbox.

Este ataque utiliza un enfoque de múltiples etapas para eludir los controles de seguridad del correo electrónico y los escáneres de contenido.

Los actores de amenazas explotan plataformas en la nube de confianza y archivos PDF de apariencia inofensiva para crear una cadena de engaño que lleva a las víctimas a una página de inicio de sesión falsa diseñada para robar sus credenciales.

El ataque comienza con un correo electrónico empresarial de aspecto legítimo que parece estar relacionado con procesos de adquisición.

Estos correos contienen un archivo PDF adjunto y piden a los destinatarios que revisen órdenes de solicitud iniciando sesión con sus credenciales.

Lo que hace que esta campaña sea efectiva es que el cuerpo del correo no contiene enlaces maliciosos, lo que le permite pasar las comprobaciones de autenticación como SPF, DKIM y DMARC sin levantar sospechas.

Una vez que la víctima abre el archivo PDF adjunto, se encuentra con un enlace integrado que la dirige a otro PDF alojado en Vercel Blob Storage, un servicio legítimo de infraestructura en la nube.

Esta capa de preparación explota la confianza que los usuarios depositan en plataformas conocidas. Los analistas de Forcepoint identificaron que el PDF utiliza técnicas especializadas como compresión FlateDecode y objetos AcroForm para ocultar elementos clicables mientras parece inofensivo para las herramientas de escaneo.

El documento alojado en la nube redirige entonces a las víctimas a un sitio web fraudulento que imita a Dropbox con una interfaz de inicio de sesión familiar.

La página falsa replica el diseño auténtico de Dropbox para convencer a los usuarios de que necesitan introducir sus credenciales para acceder a documentos importantes.

Cuando las víctimas introducen su correo electrónico y contraseña, la información es capturada inmediatamente y transmitida a los atacantes a través de la infraestructura de Telegram.

Cómo funciona el mecanismo de robo de credenciales

La página falsa de Dropbox contiene código JavaScript oculto que realiza varias funciones maliciosas.

Cuando una víctima introduce sus credenciales, el script valida el formato del correo electrónico y recopila la contraseña sin ningún requisito de longitud mínima.

Luego, recopila información adicional obteniendo la dirección IP de la víctima y detalles de geolocalización, incluyendo ciudad, región, país y proveedor de servicios de internet a través de APIs externas.

Todos estos datos recopilados se empaquetan en un mensaje y se envían a un bot de Telegram utilizando un token de bot y un ID de chat codificados.

El script simula un proceso de inicio de sesión con un retraso de cinco segundos antes de mostrar un mensaje de error, haciendo que las víctimas crean que simplemente escribieron mal sus credenciales mientras los atacantes ya tienen la información robada.