El grupo de amenazas ShinyHunters ha ampliado sus operaciones de extorsión con métodos de ataque sofisticados dirigidos a sistemas basados en la nube en múltiples organizaciones.

Estos ciberdelincuentes utilizan phishing por voz y sitios web falsos de recolección de credenciales para robar información de inicio de sesión de los empleados.

Una vez que obtienen acceso, extraen datos sensibles de aplicaciones de software en la nube y utilizan esta información para exigir pagos de rescate a las empresas víctimas.

El grupo de amenazas crea sitios web de phishing de aspecto realista que imitan las páginas de inicio de sesión de las empresas para capturar credenciales de inicio de sesión único y códigos de autenticación multifactor de empleados desprevenidos.

Los atacantes suelen llamar a los empleados fingiendo ser miembros del personal de TI y afirman que la empresa está actualizando la configuración de seguridad. Luego dirigen a los trabajadores a sitios web fraudulentos diseñados para robar sus credenciales de inicio de sesión.

Este enfoque ha demostrado ser efectivo porque combina la manipulación humana con el engaño técnico.

Analistas de Google Cloud identificaron que la actividad de amenazas se rastrea bajo tres grupos de amenazas separados llamados UNC6661, UNC6671 y UNC6240.

Los investigadores descubrieron que estos grupos han ampliado el número y tipos de plataformas en la nube que atacan, buscando datos más valiosos para sus esquemas de extorsión.

Incidentes recientes muestran que los atacantes están utilizando tácticas agresivas, incluyendo el acoso a empleados de las víctimas y el lanzamiento de ataques de denegación de servicio contra sitios web de las empresas.

Los ataques no explotan vulnerabilidades de seguridad en productos de software o infraestructura. En cambio, tienen éxito mediante técnicas de ingeniería social que engañan a las personas para que proporcionen sus credenciales voluntariamente.

Los expertos en seguridad enfatizan que las organizaciones deberían adoptar métodos de autenticación resistentes al phishing, como claves de seguridad FIDO2 o passkeys, que no pueden ser eludidos mediante tácticas de ingeniería social como los sistemas de autenticación tradicionales basados en SMS o notificaciones push.

Mecanismo de Ataque y Operaciones de Robo de Datos

Los actores de amenazas registran dominios falsos que suplantan portales corporativos legítimos utilizando patrones como nombredelaempresa-so.com o nombredelaempresainternal.com para hacer que sus sitios de phishing parezcan auténticos.

Después de obtener las credenciales de los empleados, los atacantes registran sus propios dispositivos de autenticación para mantener acceso persistente a las cuentas de las víctimas.

Luego se mueven sistemáticamente a través de los entornos en la nube corporativos para robar datos de plataformas como SharePoint, Salesforce, DocuSign y Slack.

Los ciberdelincuentes buscan específicamente documentos que contengan términos como “confidencial”, “interno”, “propuesta” y “vpn” dentro de las aplicaciones en la nube.

En algunos casos, habilitaron herramientas especiales como ToogleBox Recall dentro de cuentas de Google Workspace para eliminar permanentemente los correos electrónicos de notificación de seguridad, evitando que los empleados descubran que dispositivos no autorizados estaban accediendo a sus cuentas.

Después de robar los datos, los atacantes envían correos de extorsión exigiendo pagos en Bitcoin dentro de 72 horas y proporcionan muestras de la información robada alojada en plataformas de intercambio de archivos para demostrar sus afirmaciones.

El grupo de amenazas ShinyHunters ha ampliado sus operaciones de extorsión con métodos de ataque sofisticados dirigidos a sistemas basados en la nube en múltiples organizaciones. Estos ciberdelincuentes utilizan phishing por voz y sitios web falsos de recolección de credenciales para robar información de inicio de sesión de los empleados. Una vez que obtienen acceso, extraen datos sensibles de aplicaciones de software en la nube y utilizan esta información para exigir pagos de rescate [...].