Una campaña de phishing a gran escala está atacando activamente a organizaciones de EE. UU. utilizando invitaciones a eventos falsas como señuelo. El objetivo de estas operaciones, activas desde diciembre de 2025, es robar credenciales de acceso, interceptar contraseñas de un solo uso o instalar herramientas de acceso remoto mediante el uso de dominios maliciosos basados en un mismo marco de trabajo.

Una campaña de phishing a gran escala está atacando activamente a organizaciones de EE. UU., utilizando invitaciones a eventos falsas como cebo para robar credenciales de inicio de sesión, interceptar contraseñas de un solo uso o instalar herramientas de acceso remoto.

La operación ha estado funcionando al menos desde diciembre de 2025, y los investigadores están rastreando un grupo creciente de dominios maliciosos construidos basándose en el mismo marco repetible.

Lo que hace que esta campaña destaque no es solo su escala, sino lo cuidadosamente que está diseñada para parecer normal en cada paso.

Los atacantes utilizan páginas de señuelo temáticas de eventos que se mezclan con plataformas legítimas. Las víctimas son guiadas a través de una verificación CAPTCHA, a menudo impulsada por Cloudflare, y luego se les muestra lo que parece ser una invitación a un evento que les pide iniciar sesión.

Para cuando la página pide una contraseña o descarga un archivo, muchos usuarios ya han bajado la guardia.

Investigadores de ANY.RUN dijeron en un informe compartido con Cyber Security News (CSN) que la campaña utiliza un único marco de phishing para desplegar masivamente sitios de señuelo temáticos de eventos a gran escala.

Hasta el 27 de abril de 2026, casi 160 enlaces sospechosos vinculados a esta campaña habían sido enviados al sandbox de ANY.RUN, junto con alrededor de 80 dominios de phishing identificados.

La mayoría de esos dominios fueron registrados bajo el dominio de nivel superior .de y llevan nombres relacionados con fiestas, celebraciones e invitaciones.

Los sectores más afectados incluyen Educación, Banca, Gobierno, Tecnología y Salud. Estas son industrias donde el acceso al correo electrónico y las herramientas de administración remota forman parte de las operaciones diarias, lo que las convierte en objetivos especialmente atractivos.

Un solo enlace de phishing, si hace clic la persona equivocada, puede conducir al robo de una bandeja de entrada, la interceptación de códigos de verificación o una herramienta remota ejecutándose silenciosamente dentro de la red de la organización.

La escala de la operación también sugiere automatización. Algunos elementos de la página en la campaña sugieren una posible generación de contenido asistida por IA, lo que significa que nuevos sitios de señuelo pueden crearse rápida y económicamente.

Aun así, la infraestructura compartida deja patrones que los equipos de seguridad pueden utilizar para conectar actividades relacionadas y actuar más rápido.

Campaña de Phishing de Invitaciones Falsas

El 22 de abril de 2026, los investigadores de ANY.RUN identificaron la campaña atacando activamente credenciales de servicios de correo electrónico. La cadena de ataque sigue la misma estructura en todas las sesiones observadas: primero viene una verificación CAPTCHA, seguida de una página de invitación falsa y, finalmente, ya sea un formulario de robo de credenciales o la descarga de una herramienta remota.

Esta consistencia es deliberada, ya que le otorga a la operación un flujo predecible y escalable mientras sigue pareciendo genuina para las víctimas.

Cuando el objetivo es el robo de credenciales, la página de señuelo insta a los usuarios a iniciar sesión utilizando servicios como Google, Yahoo, AOL o Microsoft. Después de ingresar una contraseña, la víctima ve un mensaje falso de "Contraseña Incorrecta", que es un truco diseñado para recolectar un segundo intento en caso de que el primero tuviera un error tipográfico.

La página luego envía las credenciales capturadas mediante solicitudes POST a endpoints del lado del servidor como /processmail.php, seguido de un formulario de interceptación de OTP que envía los códigos de verificación a /process.php.

Para los usuarios de Gmail, un formulario de autorización de Google falsificado redirige los datos de inicio de sesión a través de /pass.php y /mlog.php, y verifica un ID de usuario vinculado a Telegram a través de /check_telegram_updates.php.

Infraestructura Repetible y Señales de Detección

La infraestructura de la campaña está construida para ser reutilizada, no solo para un despliegue único. Las páginas de robo de credenciales comparten un diseño consistente, cambiando solo el logotipo en la parte superior mientras mantienen la misma estructura de formulario debajo.

Los iconos de servicios como office360.png, yahoo.png, google.png y aol.png se almacenan bajo la misma ruta /Image/ en todos los dominios de phishing, lo que significa que una vez que un defensor detecte un dominio, se puede utilizar la misma huella digital para encontrar otros.

Los equipos de seguridad pueden utilizar la consulta TI Lookup url:"/blocked.html" AND url:"/favicon.ico" and url:"/Image/*.png" para hacer aparecer dominios relacionados en plataformas de inteligencia de amenazas. Monitorear las solicitudes GET secuenciales que acceden a /favicon.ico, /blocked.html y una ruta /Image/*.png es otra señal fiable de que una sesión de phishing está en curso.

Para la entrega de acceso remoto, la campaña impulsa herramientas que incluyen ScreenConnect, ITarian, Datto RMM, ConnectWise y LogMeIn Rescue, a veces activando la descarga automáticamente sin necesidad de hacer clic en ningún botón.

Los equipos de seguridad deben marcar las instalaciones inesperadas de RMM como un indicador potencial e investigar la actividad de la red circundante inmediatamente.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Patrón de URL	hxxps://<phish_site>/<url-pattern>/Image/office360.png	Ruta del icono del sitio de phishing para la opción de inicio de sesión de Microsoft Office 360
Patrón de URL	hxxps://<phish_site>/<url-pattern>/Image/office.png	Ruta del icono del sitio de phishing para la opción de inicio de sesión de Microsoft Office
Patrón de URL	hxxps://<phish_site>/<url-pattern>/Image/yahoo.png	Ruta del icono del sitio de phishing para la opción de inicio de sesión de Yahoo
Patrón de URL	hxxps://<phish_site>/<url-pattern>/Image/google.png	Ruta del icono del sitio de phishing para la opción de inicio de sesión de Google
Patrón de URL	hxxps://<phish_site>/<url-pattern>/Image/aol.png	Ruta del icono del sitio de phishing para la opción de inicio de sesión de AOL
Patrón de URL	hxxps://<phish_site>/<url-pattern>/Image/email.png	Ruta del icono del sitio de phishing para la opción de inicio de sesión de correo genérico
Patrón de URL	hxxps://<phish_site>/blocked.html	Ruta de recurso consistente cargada en todos los dominios de phishing
Patrón de URL	hxxps://<phish_site>/<url-pattern>/processmail.php	Endpoint que recibe POST con correo y contraseña robados (no Google)
Patrón de URL	hxxps://<phish_site>/<url-pattern>/process.php	Endpoint que recibe POST con código OTP robado
Patrón de URL	hxxps://<phish_site>/<url-pattern>/pass.php	Endpoint que recibe credenciales de inicio de sesión de Gmail
Patrón de URL	hxxps://<phish_site>/<url-pattern>/mlog.php	Endpoint que recibe la contraseña de Gmail
Patrón de URL	hxxps://<phish_site>/<url-pattern>/check_telegram_updates.php	Endpoint que verifica el ID de visitante vinculado a Telegram durante el flujo de phishing de Google
Hash de archivo (SHA-256)	887bc414bdb32b83dcfccdd3c688e90d9a87a0033e3756a840f9bdd2d65...	Icono office360.png utilizado en páginas de inicio de sesión de phishing
Hash de archivo (SHA-256)	6eaa0a448f1306bcf4159783eeafe5d37243bd8ca2728db7d90de1929241...	Icono office.png utilizado en páginas de inicio de sesión de phishing
Hash de archivo (SHA-256)	4c373bc25cb71dbb75e73b61dff25aa184be8d327053a97202a6b1a5919...	Icono yahoo.png utilizado en páginas de inicio de sesión de phishing
Hash de archivo (SHA-256)	a838f99537d35e48e479a34086297f76db5d3363b0456f23d10d308f0d3...	Icono google.png utilizado en páginas de inicio de sesión de phishing
Hash de archivo (SHA-256)	8e94c18bbcad0644c4b04de4356fe37da9996fdf1c99bc984ba819862a9b...	Icono aol.png utilizado en páginas de inicio de sesión de phishing
Hash de archivo (SHA-256)	9a53e032a6e3e79861d28568c3b6ffc97f4f3c1d3af65a703ec129664205...	Icono email.png utilizado en páginas de inicio de sesión de phishing
Dominio	festiveparty[.]us	Dominio de phishing observado utilizando convención de nombres temática de eventos
Dominio	getceptionparty[.]de	Dominio de phishing observado bajo TLD .de
Dominio	celebratieinvitiee[.]de	Dominio de phishing observado bajo TLD .de
Consulta TI	url:"/blocked.html" AND url:"/favicon.ico" and url:"/Image/*.png"	Consulta de búsqueda de TI de ANY.RUN para encontrar infraestructura de phishing relacionada

Nota: Las direcciones IP y los dominios han sido desinfectados intencionadamente (ej. [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/fake-invitation-phishing-campaign/