Un marco de phishing altamente sofisticado llamado Starkiller ha surgido recientemente, ofreciendo a los atacantes un método avanzado para robar credenciales y eludir la autenticación multifactor (MFA). Desarrollado por un grupo conocido como Jinkusu, este kit de herramientas malicioso se vende como un producto comercial de software como servicio (SaaS). A diferencia de los kits más antiguos que dependían de copias estáticas de sitios web legítimos, esta nueva plataforma carga páginas de inicio de sesión reales .

Ha surgido recientemente un marco de phishing altamente sofisticado llamado Starkiller, que ofrece a los atacantes un método avanzado para robar credenciales y eludir la autenticación multifactor (MFA).

Desarrollado por un grupo conocido como Jinkusu, este kit malicioso se vende como un producto comercial de software como servicio (SaaS).

A diferencia de los kits más antiguos, que dependían de copias estáticas de sitios web legítimos, esta nueva plataforma carga páginas de inicio de sesión reales de forma dinámica.

Este enfoque permite que atacantes con bajos conocimientos técnicos lancen campañas convincentes de nivel empresarial sin necesidad de gestionar una infraestructura de servidores compleja.

El principal canal de distribución de esta amenaza son mensajes de correo electrónico engañosos que contienen enlaces maliciosos. Cuando una víctima hace clic en el enlace, el marco despliega un navegador web oculto dentro de un contenedor seguro para cargar el sitio web real de la marca en tiempo real.

El servidor del atacante actúa entonces como intermediario, reenviando las pulsaciones de teclado, contraseñas y códigos de autenticación multifactor de la víctima directamente al servicio legítimo.

Dado que las víctimas interactúan con el sitio genuino a través de un proxy, el impacto es grave, lo que lleva a tomas de control de cuentas rápidas y secuestros de sesión generalizados.

Esta infraestructura maliciosa también incluye herramientas especializadas para fraude financiero, capturando detalles de tarjetas de crédito y frases de recuperación de carteras de criptomonedas.

Analistas de Abnormal identificaron la capacidad del marco para generar direcciones web engañosas que imitan visualmente dominios de confianza.

Al combinar plantillas de actualizaciones de software falsas con técnicas avanzadas de ofuscación de enlaces, la plataforma engaña tanto a usuarios como a escáneres de seguridad automatizados.

Los atacantes pueden monitorear sesiones activas de forma continua desde un panel de control pulido, capturando información sensible sin activar alarmas inmediatas.

Evasión de detección y estrategias de defensa

Las defensas de seguridad tradicionales tienen dificultades para detener este enfoque basado en proxy, ya que el marco elimina los archivos estáticos que los defensores suelen bloquear.

Dado que el servidor malicioso retransmite el contenido exacto del portal legítimo, las herramientas de huella digital de páginas no pueden distinguir sesiones falsas de las reales.

La plataforma integra acortadores de direcciones web y trucos de enmascaramiento visual para ocultar el verdadero destino de los enlaces maliciosos.

Para combatir esta amenaza, los equipos de seguridad deben dejar de depender únicamente del análisis estático de páginas y las puntuaciones de reputación de dominios.

La recomendación es implementar soluciones de seguridad conscientes de la identidad que monitoreen anomalías de comportamiento.

Los defensores deben rastrear activamente ubicaciones de inicio de sesión inusuales, atributos de dispositivo inesperados y casos de reutilización de tokens de sesión.

Al centrarse en señales de comportamiento en lugar de indicadores estáticos, las organizaciones pueden detectar y bloquear de manera fiable estos compromisos dinámicos.