El FBI ha emitido una nueva advertencia de ciberseguridad sobre una plataforma de phishing como servicio (PhaaS) que está surgiendo rápidamente llamada Kali365, la cual está atacando activamente a usuarios de Microsoft 365 para robar tokens de acceso y evadir la autenticación de múltiples factores (MFA).

Kali365 se distribuye principalmente a través de canales de Telegram, donde los actores de amenazas pueden suscribirse al servicio y lanzar campañas de phishing con conocimientos técnicos mínimos.

A diferencia de los ataques tradicionales de recolección de credenciales, Kali365 se enfoca en capturar tokens OAuth, lo que permite a los atacantes obtener acceso persistente a las cuentas de Microsoft 365 sin requerir nombres de usuario, contraseñas o códigos MFA.

La plataforma incluye varias funciones integradas que reducen la barrera de entrada para los atacantes:

• Plantillas de correos electrónicos de phishing generadas por IA que suplantan servicios confiables.
• Herramientas automatizadas para el despliegue de campañas.
• Paneles de control en tiempo real para rastrear a las víctimas.
• Mecanismos de captura de tokens OAuth.

Esta combinación permite que incluso atacantes con poca experiencia ejecuten campañas de phishing sofisticadas a gran escala.

Kali365 PhaaS Ataca Microsoft 365

El ataque de Kali365 aprovecha el flujo legítimo de autenticación de código de dispositivo de Microsoft para engañar a los usuarios y lograr que autoricen un acceso malicioso.

• Gancho: Las víctimas reciben correos de phishing que parecen provenir de Microsoft o de plataformas de uso compartido de documentos. Estos correos incluyen un código de dispositivo e instrucciones.
  
• Autorización: Se redirige a la víctima a una página de verificación legítima de Microsoft y se le pide que introduzca el código proporcionado.
  
• Robo de Token: Al introducir el código, el usuario autoriza sin saberlo la sesión del atacante, permitiéndole capturar tokens de acceso y de actualización OAuth.
  
• Persistencia: Los atacantes pueden entonces acceder a servicios como Outlook, Teams y OneDrive sin volver a activar el MFA.

Esta técnica es particularmente peligrosa porque explota flujos de autenticación legítimos, lo que hace que la detección sea más difícil.