En un ataque BitM, la víctima interactúa con una sesión de navegador controlada por el atacante, que carga la página de inicio de sesión legítima y retransmite las solicitudes y respuestas entre la víctima y el servicio objetivo.

Netcraft señala que rrweb es en sí mismo un proyecto legítimo ampliamente utilizado para la reproducción de sesiones y análisis, y su presencia en un entorno web no debe interpretarse como un indicador de compromiso sin un contexto más amplio.

Las imágenes, fuentes y CSS se obtienen a través de la infraestructura de phishing, mientras que las entradas de la víctima se reenvían al navegador del atacante.

Los investigadores afirman que rrweb fue elegido por su excelente fidelidad visual, interactividad en tiempo real y eficiencia de ancho de banda.

Sin embargo, todavía existe cierta latencia, por lo que cualquier retraso en la entrada del teclado y los clics del ratón en las páginas de inicio de sesión debe considerarse como una señal de alerta.

La autenticación se completa en el navegador del atacante, concediéndole un token de sesión válido y acceso ilimitado a la cuenta de la víctima.

Resumen del ataque de bluekit

El método de ataque BitM se conoce desde 2022, ideado por el investigador mr.d0x y adoptado posteriormente para actividades maliciosas.

Antes de robar las credenciales, Bluekit utiliza un sistema exhaustivo de calificación de víctimas para distinguir los objetivos reales de los investigadores o rastreadores de seguridad.

Los sistemas anti-análisis en la última versión de Bluekit incluyen:

• * Filtros CSS aleatorios para vencer la detección basada en capturas de pantalla.
• * Un paquete JavaScript ofuscado grande (>1 MB) que cambia frecuentemente.
• * CAPTCHA personalizado que puede imitar a Cloudflare o la marca objetivo.
• * Huella digital del navegador (RAM, núcleos de CPU, resolución de pantalla, idioma, detección de navegador headless, extensiones anti-fingerprinting).
• * Detección de desajuste de IP basada en WebRTC para identificar usuarios detrás de proxies o VPNs.

Netcraft también informa que el sistema de monitoreo en vivo (intervalo de actualización de 5 segundos) documentado previamente por Varonis sigue disponible en BlueKit, permitiendo a los operadores monitorear a las víctimas mientras están atrapadas en sesiones de inicio de sesión engañosas y rastrear sus acciones después del acceso.

El informe de los investigadores proporciona un conjunto de indicadores y señales asociados con Bluekit pero que no constituyen indicadores de compromiso.

Estos incluyen la manipulación de filtros CSS en elementos HTML de nivel superior con valores aleatorios, un paquete JavaScript ofuscado que se rota periódicamente, comprobaciones de huella digital del navegador, una conexión WebSocket que envía datos cifrados o binarios en las páginas de inicio de sesión y la detección de desajuste de IP WebRTC en la página de destino.


Fuente:
BleepingComputer