Se ha descubierto un nuevo kit de phishing dirigido a los usuarios de Amazon Web Services (AWS) que roba credenciales de acceso y códigos de autenticación de múltiples factores (MFA) en tiempo real. A diferencia de herramientas anteriores, este kit actúa instantáneamente mientras la víctima escribe, permitiendo a los atacantes acceder a la consola de AWS antes de que el usuario detecte el engaño.

Un kit de phishing recién descubierto está atacando a los usuarios de Amazon Web Services robando silenciosamente las credenciales de inicio de sesión y los códigos de autenticación multifactor en el mismo instante en que la víctima los escribe.

A diferencia de las herramientas más antiguas que capturaban las contraseñas para usarlas más tarde, este kit trabaja en tiempo real, lo que significa que los atacantes pueden acceder a la consola de AWS de la víctima antes de que ella se dé cuenta de que algo va mal.

La campaña operó entre el 19 y el 23 de junio de 2026, y marca un cambio serio en la forma en que se atacan las cuentas en la nube.

El kit se basa en una técnica llamada adversario en el medio, o AiTM (Adversary-in-the-Middle), que coloca un relevo oculto entre la víctima y la página de inicio de sesión real de AWS.

Cuando una víctima introduce sus credenciales y un código MFA, todo se reenvía silenciosamente al servidor del atacante, que a su vez lo pasa al sitio real de AWS.

Este relevo en vivo otorga a los atacantes una breve ventana para iniciar sesión utilizando la sesión robada antes de que expire, haciendo que las protecciones MFA sean efectivamente inútiles.

Analistas de Datadog Security Labs identificaron la campaña y documentaron cómo operaba, publicando un informe.

Los investigadores encontraron tres dominios de phishing, todos registrados en la misma ventana de 24 horas a través de un registrador llamado NICENIC INTERNATIONAL GROUP CO., LIMITED, y alojados en Cloudflare.

Cada dominio servía una copia casi perfecta de la página de inicio de sesión de la consola de AWS, haciendo que fuera casi imposible que la mayoría de los usuarios notaran algo extraño.

Los correos electrónicos de ataque fueron enviados a través de plataformas confiables como SendGrid y Nimbu, lo que les ayudó a superar los filtros de autenticación de correo electrónico y llegar directamente a las bandejas de entrada.

El correo de phishing suplantaba al Soporte de AWS y citaba un problema fabricado sobre el estrangulamiento del ancho de banda para crear urgencia. Esta ingeniería social empujó a los destinatarios a hacer clic rápidamente, sin detenerse a comprobar si la solicitud era real.

Lo que hace que esta campaña destaque es que no lanzó una red amplia. El kit solo mostraba la página de inicio de sesión falsa cuando aparecía un correo electrónico válido y previamente verificado en el enlace, y los investigadores recuperaron menos de 50 direcciones objetivo.

La mayoría pertenecía a ingenieros de software y líderes de ingeniería en los Estados Unidos, lo que apunta a una operación dirigida en lugar de un phishing masivo.

El kit de phishing AWS AiTM roba credenciales de la consola

El núcleo de este kit residía dentro de un único archivo JavaScript embebido en la página falsa de inicio de sesión de AWS.

Cuando una víctima visitaba el sitio, la página leía un valor cifrado de la URL, lo verificaba contra el servidor del atacante y solo mostraba el formulario de inicio de sesión si el visitante coincidía con un objetivo conocido.

Este truco evitaba que los sandboxes de seguridad y los investigadores examinaran el comportamiento de la página.

Una vez enviadas las credenciales, el kit las reenviaba al servidor de phishing, que interactuaba con el sistema de inicio de sesión real de AWS en segundo plano.

El servidor solo podía determinar qué desafío de MFA mostrar a continuación (ya fuera correo electrónico, SMS o una contraseña temporal basada en tiempo) retransmitiendo activamente los datos al sitio legítimo de AWS.

Ese intercambio en vivo es lo que diferencia a los kits AiTM de las páginas de phishing estándar y los hace mucho más peligrosos.

Vínculos con una operación de phishing más amplia

Junto a los tres dominios de AWS, los investigadores encontraron otros tres dominios que suplantaban a SendGrid, todos registrados durante la misma ventana a través del mismo registrador.

Las similitudes eran claras, incluyendo una estructura de aplicación basada en React coincidente, el mismo método de filtrado de correo electrónico cifrado y un soporte de MFA idéntico para todos los principales tipos de segundo factor.

Los investigadores también rastrearon el parámetro de URL input_24, una huella digital de este kit, hasta campañas que datan de julio de 2023, incluyendo ataques a usuarios de billeteras de criptomonedas y una suplantación de la página de inicio de sesión de Salesforce.

Esto apunta a un actor de amenazas que ha refinado y reutilizado el mismo conjunto de herramientas en múltiples industrias durante varios años.

Para defenderte de esta amenaza, tu equipo de seguridad debe buscar consultas DNS que apunten a los dominios de phishing conocidos y revisar los registros de AWS CloudTrail para buscar eventos de ConsoleLogin tras el contacto con dichos dominios.

Un inicio de sesión exitoso que aparezca justo después del tráfico hacia un dominio de phishing sugiere fuertemente que un atacante capturó y replicó la sesión de una víctima. Tratar el phishing de la consola de AWS como una amenaza de alta prioridad es la lección más clara de esta campaña.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	us-west-login[.]com	Dominio de phishing de AWS registrado vía NICENIC
Dominio	aws.us-west-login[.]com	Subdominio de phishing de AWS
Dominio	aws-central.us-west-login[.]com	Subdominio de phishing de AWS
Dominio	us-east-prod[.]com	Dominio de phishing de AWS registrado vía NICENIC
Dominio	aws.us-east-prod[.]com	Subdominio de phishing de AWS
Dominio	loginportal-aws[.]com	Dominio de phishing de AWS; no se observó con el parámetro input_24
Dominio	switch-sglogin[.]com	Dominio de phishing de SendGrid registrado vía NICENIC
Dominio	uslogin-prodsg[.]com	Dominio de phishing de SendGrid registrado vía NICENIC
Dominio	sendgrid.uslogin-prodsg[.]com	Subdominio de phishing de SendGrid
Dominio	us-west-prod[.]com	Dominio de phishing de SendGrid registrado vía NICENIC
Dominio	sendgrid.us-west-prod[.]com	Subdominio de phishing de SendGrid
Dominio	15hourolddomain-bypass-ed-google-workspace-protection-fuckgoogle[.]com	Dominio inexistente consultado por el script de validación del atacante encontrado en VirusTotal

Nota: Las direcciones IP y los dominios han sido desinfectados intencionadamente (ej., [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/aws-aitm-phishing-kit-steals-console-credentials/