ROADtools usado en ataques en la nube para robar tokens y evadir MFA

El framework de seguridad de código abierto ROADtools, diseñado originalmente para el red-teaming, está siendo utilizado por atacantes para comprometer entornos de Microsoft Azure. Los cibercriminales están convirtiendo esta herramienta en un arma para robar tokens de autenticación, registrar dispositivos maliciosos y evadir los controles de autenticación de múltiples factores (MFA).

Un conocido marco de seguridad de código abierto llamado ROADtools ha sido utilizado contra las organizaciones que originalmente debía proteger.

Lo que antes era una herramienta legítima de red-teaming, ahora está siendo activamente convertida en arma por atacantes para robar tokens de autenticación, registrar dispositivos maliciosos y eludir los controles de autenticación de múltiples factores (MFA) en entornos de Microsoft Azure.

ROADtools es un conjunto de herramientas basado en Python diseñado para interactuar con Microsoft Entra ID, anteriormente conocido como Azure Active Directory.

Puede enumerar usuarios, grupos, dispositivos y aplicaciones dentro de un tenant de la nube. Los atacantes lo han encontrado útil porque opera a través de las mismas APIs legítimas de Microsoft en las que las organizaciones confían cada día, lo que hace que sea extremadamente difícil de detectar.

Analistas de Unit 42, la división de inteligencia de amenazas de Palo Alto Networks, han detallado en un informe compartido con Cyber Security News (CSN) cómo este conjunto de herramientas evolucionó de una utilidad de investigación a una plataforma de ataque completa.

Se ha observado que actores de amenazas de estados-nación lo utilizan en intrusiones reales en la nube para el descubrimiento, la persistencia y la evasión de defensas.

El conjunto de herramientas llamó la atención ya a finales de 2021, cuando Cloaked Ursa, también rastreado como Midnight Blizzard o APT29, fue sorprendido usándolo tras obtener acceso mediante spear phishing.

Para 2023, el grupo iraní Curious Serpens, también conocido como Peach Sandstorm o APT33, estaba utilizando ROADtools tras campañas de password spray.

Una campaña de phishing de 2025 atribuida al actor afiliado al estado UTA0355 utilizó herramientas que coincidían estrechamente con las capacidades de gestión de tokens de ROADtools.

La amenaza no se limita a ninguna industria en particular. Cualquier organización que utilice servicios de nube de Microsoft podría ser un objetivo, especialmente aquellas con Políticas de Acceso Condicional mal configuradas o aplicaciones que posean permisos excesivamente amplios.

ROADtools mal utilizado en ataques en la nube

La capacidad más peligrosa de las herramientas reside en su módulo roadtx, que gestiona la adquisición e intercambio de tokens.

Una vez que un atacante tiene credenciales válidas, puede usar roadtx para autenticarse a través de varios flujos de inicio de sesión compatibles, incluyendo el flujo de código de dispositivo y el flujo "on-behalf-of" (OBO).

El resultado es un conjunto de tokens de acceso y refresco de OAuth 2.0 que pueden usarse para acceder silenciosamente a los servicios de nube de Microsoft.

Al obtener un Token de Refresco Primario (PRT), un atacante puede generar continuamente nuevos tokens de acceso en segundo plano sin activar otro aviso de inicio de sesión.

Esto les permite operar eficazmente dentro de un tenant comprometido durante periodos prolongados, eludiendo por completo los controles de MFA. Un solo PRT comprometido puede otorgar acceso persistente y programático a todo un tenant de Azure.

Grupos de Entra ID en la interfaz web de ROADtools (Fuente – Unit42)

El módulo roadtx también permite a los atacantes registrar dispositivos maliciosos en Entra ID, que aparecen como entradas legítimas en el inventario de dispositivos. Dependiendo de la configuración de Entra ID, estos dispositivos también pueden usarse para eludir las Políticas de Acceso Condicional.

Por defecto, roadtx registra dispositivos con la versión de SO 10.0.19041.928 y los nombra siguiendo el patrón DESKTOP seguido de ocho dígitos aleatorios, lo cual es un indicador de detección útil para los defensores.

Búsqueda de ROADtools y defensas recomendadas

Los investigadores de Unit 42 recomiendan un enfoque por capas para detectar y detener el abuso de ROADtools. Habilitar la protección de tokens de Entra ID es una de las defensas más directas, ya que vincula los tokens de refresco a un dispositivo específico y hace que sean mucho más difíciles de robar y reutilizar.

Las organizaciones también deberían restringir el flujo de código de dispositivo a través de Políticas de Acceso Condicional, ya que los atacantes lo prefieren específicamente porque funciona bien para ataques automatizados basados en scripts.

Las auditorías regulares de los permisos de las aplicaciones OAuth son igualmente importantes. Las aplicaciones personalizadas o abandonadas con acceso amplio a Microsoft Graph, SharePoint o Exchange son objetivos principales para el robo de tokens.

Implementar soluciones de gestión de identidades privilegiadas (PIM) o gestión de accesos privilegiados (PAM) puede limitar aún más el daño si se roba un token.

Para la búsqueda de amenazas (threat hunting), debes buscar agentes de usuario programados, como cadenas que contengan "python-requests" o "urllib", que aparezcan en los registros de autenticación.

Los registros de la API de Microsoft Graph que muestran consultas repetitivas de alto volumen contra endpoints como /users, /groups o /devices en un intervalo corto son un fuerte indicador de enumeración con roadrecon.

Consolidar los registros de auditoría de Azure, los registros de actividad de la API de Graph y los datos de inicio de sesión en una plataforma SIEM dará a los equipos de seguridad la visibilidad que necesitan para capturar esta actividad antes de que escale.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Cadena User-Agent	roadtools	Cadena de agente de usuario HTTP asociada a la actividad de la herramienta ROADtools en el tráfico de red
Cadena User-Agent	python-requests/<versión>	Cadena de agente de usuario HTTP utilizada por roadtx/roadlib al realizar solicitudes de tokens vía Python
Versión SO (Predeterminada)	10.0.19041.928	Versión de SO predeterminada establecida por roadtx al registrar un dispositivo malicioso en Entra ID
Patrón de Nombre de Dispositivo	DESKTOP-<8 DÍGITOS ALEATORIOS>	Convención de nomenclatura predeterminada utilizada por roadtx para el registro de dispositivos maliciosos en Entra ID
Ámbito OAuth	Directory.ReadWrite.All	Permiso amplio de Microsoft Graph objetivo de los atacantes vía roadtx para enumeración de tenants
Ámbito OAuth	Device.ReadWrite.All	Permiso de Microsoft Graph asociado con la manipulación de dispositivos vía ROADtools
Ámbito OAuth	Application.ReadWrite.All	Permiso de Microsoft Graph abusado por atacantes para el robo de tokens a nivel de aplicación
Ámbito OAuth	AuditLog.ReadWrite.All	Permiso de Microsoft Graph potencialmente objetivo para acceder o manipular registros de auditoría
Ámbito OAuth	Policy.ReadWrite.All	Permiso de Microsoft Graph abusado para modificar o leer políticas de acceso organizacionales

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (p. ej., [.]) para evitar la resolución accidental o el hipervínculo. Solo debes reactivarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/roadtools-misused-in-cloud-attacks/