Se ha descubierto un nuevo panel de phishing llamado ARToken, diseñado para que los ciberdelincuentes roben sesiones de inicio de sesión de Microsoft 365 sin necesidad de contraseñas. Esta herramienta abusa de una función legítima de inicio de sesión de Microsoft destinada a dispositivos sin teclado o navegador, engañando a las víctimas para que aprueben un acceso en nombre del atacante.

Un panel de phishing recién descubierto llamado ARToken le está dando a los ciberdelincuentes una forma sencilla de robar sesiones de inicio de sesión de Microsoft 365 sin tocar nunca una contraseña.

La herramienta funciona abusando de una función de inicio de sesión legítima de Microsoft diseñada para dispositivos sin teclado o navegador, engañando a las víctimas para que aprueben un inicio de sesión en nombre del atacante.

Una vez que se produce esa aprobación, el atacante se queda con un token de sesión activo, sin que se requiera ningún código de autenticación de múltiples factores.

Lo que hace que ARToken destaque no es solo el robo en sí, sino lo que sucede después. El panel ofrece a los operadores criminales un tablero repleto de más de ochenta funciones, que abarcan desde la actualización de tokens robados hasta la lectura de toda la bandeja de entrada de correo electrónico de una víctima.

Incluso ofrece herramientas para navegar y descargar archivos de SharePoint y OneDrive, convirtiendo un solo inicio de sesión robado en una puerta para un compromiso más profundo.

Cisco Talos afirmó en un informe compartido con Cyber Security News (CSN) que identificaron el panel mientras investigaban una infraestructura de phishing vinculada a un caso de respuesta a incidentes, y rastrearon su código hasta un panel de gestión activo que exponía públicamente todo su kit de herramientas.

El panel comparte infraestructura, patrones de codificación y comandos de backend idénticos con EvilTokens, una plataforma de "phishing como servicio" documentada a principios de este año por investigadores de Sekoia y confirmada posteriormente por Microsoft como una amenaza a gran escala.

Para cuando Microsoft reconoció la escala de estos ataques de código de dispositivo, los investigadores ya habían rastreado aproximadamente 500 dominios de Cloudflare Workers y más de 2,000 páginas de phishing vinculadas a la operación más amplia de EvilTokens.

Los afiliados se dirigieron al personal de finanzas, equipos de recursos humanos y personal de logística en múltiples regiones, utilizando a menudo mensajes generados por IA adaptados a cada víctima.

ARToken parece ser una marca renovada o una ramificación estrechamente relacionada con ese mismo ecosistema criminal, creada para afiliados que deseen una interfaz más pulida y herramientas de post-brecha más profundas.

El panel de phishing de Microsoft 365 utiliza el flujo de código de dispositivo OAuth

El ataque suele comenzar con un correo electrónico convincente que suplanta a un contacto real de un proveedor, en lugar de inventar una empresa falsa desde cero.

En un caso examinado por los investigadores, el mensaje suplantaba a un contacto de cuentas por pagar de un contratista legítimo y dirigía al destinatario hacia lo que parecía ser un enlace genuino de archivo de SharePoint vinculado a una factura pendiente.

El texto visible del enlace apuntaba al inquilino real de SharePoint del proveedor, pero el destino real redirigía silenciosamente a un espacio de trabajo casi idéntico controlado por el atacante.

Dado que el enlace seguía resolviendo a una dirección real de sharepoint.com, conservaba la confianza normalmente asociada a esa plataforma, lo que le ayudaba a evadir tanto los filtros de spam como a los lectores cautelosos.

Hacer clic conduce a la víctima a una página falsa de inicio de sesión de dispositivo de Microsoft, que se muestra a continuación en la propia interfaz del panel.

El kit muestra entonces un código de dispositivo y pide al objetivo que lo introduzca en la página real de microsoft.com/devicelogin, un paso que resulta rutinario para cualquiera que haya configurado un televisor inteligente o una aplicación de streaming anteriormente.

Una vez introducido, el backend captura silenciosamente un token de acceso activo sin solicitar una contraseña.

Trucos integrados de evasión y persistencia

Antes de que ocurra cualquier cosa, el kit de phishing ejecuta un proceso de cribado de siete capas diseñado para filtrar escáneres de seguridad y bots automatizados.

Verifica las huellas digitales del navegador, vigila el movimiento natural del ratón y espera casi un segundo completo antes de activarse, en un esfuerzo por convencerse de que la página está tratando con un humano real.

El token robado es solo el principio. ARToken puede escalar ese acceso inicial a una credencial de mayor duración conocida como token de actualización primario (primary refresh token), que sigue funcionando incluso después de que la víctima cambie su contraseña.

Esa decisión de diseño separa este ataque de los métodos de phishing más antiguos, ya que un restablecimiento normal de la contraseña, de otro modo, dejaría fuera al atacante.

Desde ahí, los operadores pueden leer la bandeja de entrada completa de la víctima, enviar mensajes que parecen provenir de la cuenta comprometida y crear silenciosamente reglas de bandeja de entrada que oculten o reenvíen pruebas de la intrusión.

Los equipos de seguridad deben tratar los avisos inesperados de código de dispositivo con sospecha y confirmar las solicitudes inusuales de facturas o documentos a través de un canal separado y confiable antes de actuar.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	dashboard-bl.pamconj[.]com	Panel de gestión de ARToken que aloja el tablero del operador basado en React
Dominio	spx.pamconj[.]com	Punto final de la API de comando y control para el kit de phishing ARToken
Dominio	clear90489058903-document.workers[.]dev	Cuenta de Cloudflare Workers utilizada para desplegar señuelos de phishing
URL	https[:]//mononapfp.sharepoint[.]com/:f:/document/INV-IgCx1X50pgUjR7iAjZL2fuQaAW4GfKVs6wHT3BYv9sgwW7g	Enlace ancla visible disfrazado como el inquilino genuino de SharePoint del proveedor
URL	https[:]//mononapfpcom.sharepoint[.]com/:f:/g/IgAdH_aaBPMcQbtINZzC1TsLARj3dHj63MnKjvnY-QJrKEc	Inquilino de SharePoint real controlado por el atacante utilizado para la redirección
Archivo	pumber.png	Imagen de firma integrada en los correos de phishing para la mutación de contenido
Identificador	84eb384d-cd3e-4c90-a283-c960ce557913	UUID de operador codificado 用于 llamadas a la API de código de dispositivo
Clave de almacenamiento	artoken_jwt	Clave de LocalStorage dirigida a robar tokens JWT existentes para correlación de sesiones

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/microsoft-365-phishing-panel-uses-oauth-device-code-flow/