Una creciente ola de ataques de phishing dirigidos está poniendo a los usuarios de Microsoft en grave riesgo, y la herramienta detrás de esto es más sofisticada de lo que la mayoría de la gente cree.

Investigadores de seguridad han documentado cómo Evilginx, un marco de trabajo de adversario en el medio (AiTM), se está utilizando para interceptar silenciosamente sesiones de inicio de sesión de Microsoft, robando nombres de usuario, contraseñas, tokens de MFA y cookies de sesión autenticadas, todo a la vez.

Lo que hace que esta amenaza sea especialmente alarmante es que incluso los usuarios que siguen las mejores prácticas y activan la autenticación de múltiples factores (MFA) no están totalmente protegidos.

La mayoría de las personas creen que activar el MFA es suficiente para mantener sus cuentas seguras. Esa suposición se está poniendo a prueba ahora de una manera muy real.

Evilginx funciona colocándose entre tú y la página real de inicio de sesión de Microsoft, actuando como un relé transparente que la víctima nunca sospecha.

Cada dato intercambiado durante el proceso de inicio de sesión, incluida la aprobación del MFA, pasa directamente por el servidor del atacante antes de llegar a su destino.

Analistas de NetSPI documentaron un caso real donde esta técnica se puso en práctica contra el equipo ejecutivo de una empresa.

NetSPI afirmó en un informe que los investigadores registraron un dominio similar y dirigieron un servidor Evilginx directamente al flujo de inicio de sesión real de Microsoft del cliente.

El ataque fue cuidadosamente envuelto en un escenario de ingeniería social, haciendo que fuera aún más difícil para los objetivos detectar que algo andaba mal.

El resultado fue una demostración clara de lo peligrosa que puede ser esta combinación. Una vez que el objetivo hizo clic en el enlace de phishing y completó su inicio de sesión en Microsoft, incluyendo la aprobación del aviso de MFA, Evilginx ya había capturado la cookie de sesión autenticada.

Con esa cookie en mano, un atacante puede reproducir la sesión desde cualquier dispositivo, en cualquier lugar del mundo, sin necesidad de volver a pedir la contraseña o el código MFA de la víctima.

Lo que sucedió después en el caso de NetSPI sorprendió incluso a los propios investigadores. Un ejecutivo, creyendo que estaba gestionando una crisis potencial de la empresa, reenvió el enlace de phishing a dos empresas externas de contratación.

En un solo movimiento involuntario, un ataque dirigido contra una organización estuvo a punto de convertirse en una brecha multiempresa. La sesión fue terminada inmediatamente para evitar capturas de credenciales fuera del alcance, pero la lección fue imposible de ignorar.

Ataque Evilginx AiTM

Evilginx está construido sobre el servidor web nginx, ampliamente utilizado, y está diseñado para actuar como proxy del tráfico web a través de sitios falsos controlados por el atacante en tiempo real.

Cuando una víctima visita una URL de phishing, se le muestra una réplica exacta de la página real de inicio de sesión de Microsoft, porque en realidad es la página real siendo reflejada en vivo.

El usuario introduce sus credenciales y aprueba su solicitud de MFA, totalmente inconsciente de que cada intercambio está siendo capturado en el servidor del atacante.

El atacante recibe el nombre de usuario, la contraseña y la cookie de sesión activa en el momento en que se completa la autenticación. Esa cookie de sesión es el verdadero premio, ya que le indica a los servidores de Microsoft que ya se ha producido un inicio de sesión válido.

Un atacante puede importarla en cualquier navegador y obtener acceso total a la cuenta sin activar otro desafío de MFA, que es lo que hace que los ataques AiTM sean fundamentalmente diferentes de los intentos de phishing tradicionales.

Protegiéndose contra el secuestro de sesión

Defenderse contra los ataques al estilo de Evilginx requiere un enfoque por capas que va mucho más allá del MFA estándar.

NetSPI y otros investigadores recomiendan implementar autenticación resistente al phishing, como llaves físicas FIDO2 o passkeys, que utilizan el enlace de dominio para bloquear completamente la interceptación basada en proxies.

Estos son actualmente los únicos tipos de MFA que pueden detener un ataque AiTM en la propia etapa de autenticación.

Las organizaciones también deberían activar la Protección de Tokens en el Acceso Condicional de Microsoft Entra ID, que vincula los tokens de sesión al dispositivo específico en el que fueron emitidos originalmente, haciendo que las cookies robadas sean inútiles cuando se intenten usar desde una máquina diferente.

Se insta a los equipos de seguridad a monitorear los registros de inicio de sesión en busca de tokens que se utilicen desde nuevas direcciones IP o ubicaciones que difieran de donde fueron emitidos por primera vez.

Establecer políticas claras sobre cómo deben manejar los empleados las comunicaciones externas no solicitadas, especialmente cualquier cosa que los dirija a páginas de inicio de sesión internas, es también un paso crítico para reducir la exposición.