Productos FTTH

Tienda FFTH desde 2004

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon El kit de phishing EvilTokens es mucho más peligroso de lo que imaginábamos

jueves, 2 de julio de 2026 | Publicado por el-brujo | Editar entrada

EvilTokens es un kit de phishing avanzado que permite evadir la autenticación multifactor para acceder a cuentas de Microsoft 365. Cisco Talos descubrió que el panel ARToken potencia estas operaciones con tácticas de evasión sofisticadas y el uso de relaciones comerciales reales para engañar a las víctimas. Más que un simple kit, se trata de un entorno completo para el compromiso de correos electrónicos corporativos (BEC).





EvilTokens, el kit de phishing de código de dispositivo que puede permitir a los criminales omitir la autenticación multifactor (MFA) y autenticarse silenciosamente como la víctima en las aplicaciones de Microsoft 365 de la organización, parece ser aún más insidioso de lo que pensábamos.

Los responsables de respuesta a incidentes de Cisco Talos describieron el miércoles cómo el señuelo llega a la bandeja de entrada de la víctima y revelaron nuevas capacidades junto con un "enfoque de evasión más sofisticado" que el documentado en investigaciones anteriores de EvilTokens.

Talos descubrió un panel de operador de phishing como servicio (PhaaS), bajo la marca “ARToken”, que parece ser un cliente de EvilTokens, según el ingeniero de investigación de seguridad Michael Kelley, quien señaló que la operación de phishing comparte infraestructura, contratos de API y patrones operativos con la plataforma EvilTokens.



EvilTokens fue documentado por primera vez por la empresa francesa de ciberseguridad Sekoia en marzo, y en abril Microsoft afirmó que la campaña de phishing de código de dispositivo estaba comprometiendo cientos de organizaciones diariamente.

"Desde el 15 de marzo de 2026, hemos observado entre 10 y 15 campañas distintas lanzándose cada 24 horas", dijo el vicepresidente de investigación de seguridad de Microsoft, Tanmay Ganacharya. “Cada campaña se distribuye a escala, dirigiéndose a cientos de organizaciones con cargas útiles muy variadas y únicas, lo que hace que la detección basada en patrones sea más difícil”.

Mientras que la mayoría de los análisis posteriores han cubierto el panel y el kit de phishing de EvilTokens, “lo que no se ha mostrado es cómo un señuelo de ARToken llega realmente a una bandeja de entrada”, dijo Kelley el miércoles. “Talos recuperó dos mensajes casi idénticos, enviados con unos cuatro minutos de diferencia el 20 de abril de 2026, que inician la cadena. La técnica es dirigida, no un ataque masivo indiscriminado”.



Específicamente, el señuelo del correo electrónico abusó de una relación comercial real entre una empresa de ciencias biológicas de EE. UU. y un contratista legítimo de fontanería y protección contra incendios. El correo utiliza un señuelo de factura pendiente, indicando a la empresa que “las siguientes facturas parecen seguir pendientes”, y el encabezado “de” presenta el dominio real del contratista. Sin embargo, el campo de respuesta redirige las respuestas a un dominio no relacionado.



Incluso el texto visible en el cuerpo del correo electrónico aparece como el inquilino de SharePoint genuino del proveedor. No obstante, el enlace real apunta a una copia casi idéntica bajo un espacio de trabajo de Microsoft 365 diferente y controlado por el atacante. Pero debido a que el destino sigue siendo un host legítimo de sharepoint.com, es menos probable que el correo electrónico sea marcado como phishing.

Durante su investigación sobre la infraestructura de phishing de ARToken, Cisco descubrió las conexiones con EvilTokens –incluyendo un contrato de API idéntico al documentado originalmente por Sekoia y modelos de despliegue y operativos coincidentes– así como capacidades de anti-análisis y evasión “notablemente más sofisticadas”.




El panel de ARToken también reveló un kit de herramientas de post-explotación muy completo que proporciona gestión de tokens y mecanismos de persistencia, y una herramienta integrada de compromiso de correo electrónico empresarial (BEC) con acceso completo de lectura a la bandeja de entrada de Microsoft Outlook, capacidades de envío de correo electrónico como la víctima, creación de reglas de bandeja de entrada para reenviar y eliminar mensajes, y monitoreo basado en palabras clave en todas las cuentas comprometidas.

“Estas funciones indican que la plataforma es más madura que un simple kit de phishing de código de dispositivo: es un entorno completo de operaciones BEC”, escribió Kelley. ®

Fuente:
TheRegister

Etiquetas: , , , , , , ,

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.