Se ha detectado una nueva campaña de phishing dirigida a usuarios de Microsoft 365 que utiliza un método innovador. En lugar de intentar robar la contraseña directamente, el ataque engaña a las víctimas para que completen un proceso de autenticación legítimo de Microsoft, lo que permite que el atacante tome el control de la cuenta de manera silenciosa.

Se ha descubierto una nueva campaña de phishing dirigida a usuarios de Microsoft 365, y utiliza un enfoque diferente al de la mayoría de los ataques vistos habitualmente.

En lugar de intentar robar la contraseña de la víctima directamente, esta campaña engaña a los usuarios para que completen un proceso de autenticación real de Microsoft que, silenciosamente, entrega el control de su cuenta a un atacante.

Es una técnica convincente que se está volviendo más difícil de reconocer para los usuarios comunes. El método central de esta campaña se llama phishing de Código de Dispositivo.

En un escenario normal y legítimo, el flujo de Código de Dispositivo de Microsoft ayuda a los usuarios a autenticarse en dispositivos donde escribir un nombre de usuario y contraseña es inconveniente, como en una smart TV o una herramienta de línea de comandos.

El atacante ha convertido esa función útil en una trampa, utilizándola para autorizar su propio dispositivo controlado para acceder a la cuenta de la víctima sin necesidad de recopilar nunca una contraseña.

Analistas de ReversingLabs identificaron y documentaron esta campaña activa, señalando que combina correos electrónicos de señuelo con temas empresariales realistas, un kit de phishing pulido y el propio flujo de Concesión de Autorización de Dispositivos de Microsoft para llevar a cabo una toma de control de cuenta casi invisible.

Los investigadores de ReversingLabs dijeron en un informe que revela cómo los actores de amenazas han perfeccionado esta técnica para evadir las defensas estándar y hacer que el ataque parezca un inicio de sesión rutinario de Microsoft.

El ataque comienza con un correo electrónico que parece una solicitud de aprobación de un proveedor o un contacto comercial. Adjunto hay una imagen que, al hacer clic, redirige a la víctima a una página de destino falsa que imita un diseño genuino de Microsoft.

Desde allí, se le pide a la víctima que copie un código corto y lo introduzca en la página real de inicio de sesión de dispositivos de Microsoft. La mayoría de las personas no tienen motivos para sospechar nada inusual en este punto.

Una vez que se introduce el código y la víctima inicia sesión, el sistema de autenticación de Microsoft autoriza el dispositivo del atacante. La víctima no ve nada fuera de lo común.

El atacante posee ahora un token de acceso válido para esa cuenta de Microsoft 365 y puede usarlo para leer correos electrónicos, acceder a archivos y moverse lateralmente dentro de la organización objetivo.

Campaña de Phishing de Código de Dispositivo de Microsoft 365

El kit de phishing detrás de esta campaña está diseñado para evadir la detección automatizada.

Las páginas de destino insertan caracteres Unicode invisibles, incluyendo el Espacio de Ancho Cero, el Unidor de Palabras y el No Unidor de Ancho Cero, dispersos en palabras que las herramientas de seguridad marcan como indicadores de phishing.

Esto hace que las páginas sean difíciles de capturar mediante la coincidencia de firmas estándar. El kit utiliza una URL alojada en la infraestructura legítima de Akamai como punto de entrada al inicio de sesión del dispositivo, lo que aumenta su apariencia de legitimidad.

Se envía una solicitud POST desde el backend del kit al host de phishing cada cuatro segundos, coordinando el flujo de OAuth entre el atacante y la sesión de autenticación que la víctima está completando. Este aviso constante es uno de los pocos signos detectables del ataque.

El tráfico de red producido por el kit también puede ayudar a la detección. Dos secuencias de resoluciones de nombres de host vinculadas a la página de destino de phishing y al flujo de autenticación de Microsoft forman clústeres identificables.

Un tercer clúster es la actividad de aviso enviada cada cuatro segundos después de que comienza la primera fase de autenticación, lo que ofrece a los equipos de seguridad una señal fiable para buscar en sus registros de red.

Defensa contra el Phishing de Código de Dispositivo

ReversingLabs ha publicado una regla YARA para detectar las páginas de destino utilizadas por este kit de phishing.

La regla identifica combinaciones de caracteres Unicode invisibles junto con artefactos de tokens de autenticación codificados en el código fuente de la página.

Cuando se combina con la búsqueda basada en la red utilizando los patrones de tráfico descritos en el informe, los defensores tienen un punto de partida sólido.

Las organizaciones deben entrenar a sus empleados para que cuestionen cualquier solicitud que les pida copiar y pegar un código en una página de inicio de sesión de Microsoft.

Se recomienda supervisar los registros de inicio de sesión de Entra ID para el uso de concesiones de Código de Dispositivo, especialmente cuando el inicio de sesión se origina desde un endpoint que no es un dispositivo IoT o de línea de comandos conocido.

Los equipos de seguridad deben implementar detecciones para los artefactos del kit de phishing descritos en el informe de ReversingLabs, incluyendo los indicadores de la página de destino y el patrón de tráfico de red vinculado a este ataque.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.