Se ha documentado una nueva técnica de phishing que logra evadir la autenticación de múltiples factores (MFA). En lugar de robar contraseñas, los atacantes convencen a los usuarios de que aprueben un inicio de sesión real de Microsoft. Esta campaña abusa del flujo de código de dispositivo de OAuth, una función diseñada para dispositivos como Smart TVs, permitiendo que los hackers tomen el control total de la sesión de Microsoft 365 sin necesidad de robar las credenciales directamente.

La autenticación de múltiples factores está diseñada para detener los ataques basados en contraseñas robadas. Sin embargo, una técnica de phishing recientemente documentada persuade a los usuarios para que aprueben un inicio de sesión real de Microsoft, permitiendo que los atacantes tomen el control de la sesión de Microsoft 365 resultante sin necesidad de robar las credenciales directamente.

La campaña abusa del flujo de código de dispositivo OAuth, una función destinada a dispositivos como televisores inteligentes y sistemas de salas de reuniones que no pueden mostrar fácilmente una página de inicio de sesión normal.

Los atacantes envían un código a través de un señuelo convincente de verificación de cuenta o de uso compartido de documentos, y luego esperan a que la víctima lo introduzca en la página de inicio de sesión genuina de Microsoft.

Trend Micro afirmó en un informe que esta técnica convierte una función de conveniencia legítima en una evasión del MFA.

Los investigadores descubrieron que las víctimas pueden completar correctamente sus comprobaciones de contraseña y MFA, pero los tokens de sesión aprobados se envían al sistema del atacante en lugar de a un dispositivo de confianza.

El impacto puede extenderse mucho más allá de un solo inicio de sesión. Después de obtener el acceso, los operadores pueden registrar dispositivos maliciosos, crear reglas en la bandeja de entrada para ocultar mensajes y utilizar el buzón comprometido para llegar a cientos de destinatarios adicionales, lo que hace que el incidente sea difícil de detectar únicamente con herramientas centradas en el endpoint.

Tú también puedes revisar cómo una campaña de código de dispositivo de Microsoft 365 utiliza un engaño similar basado en la aprobación.

Los hackers dejan que las víctimas completen el MFA

En un inicio de sesión normal por código de dispositivo, un dispositivo solicita un código corto y el usuario lo introduce en otra pantalla para aprobar el acceso.

Microsoft entonces entrega los tokens de sesión al mismo dispositivo que inició la solicitud, manteniendo al usuario y al dispositivo conectados en un único proceso legítimo.

Los atacantes rompen esa conexión actuando como si fueran el dispositivo. Su servidor solicita un código válido y de corta duración, mientras que un mensaje de phishing le dice a la víctima que lo use para abrir un documento compartido o verificar una cuenta.

La víctima visita Microsoft, introduce el código, inicia sesión y completa el MFA sin ver ninguna página de contraseña falsa.

Una vez completada la aprobación, Microsoft emite tokens de acceso y de actualización a la solicitud pendiente del atacante.

Esos tokens pueden abrir Outlook y otros recursos de Microsoft 365, mientras que el token de actualización, de mayor duración, puede preservar el acceso después de que la víctima haya cerrado el navegador.

Esto difiere del abuso de código de dispositivo OAuth que se centra únicamente en el robo de contraseñas, porque aquí el atacante está robando una sesión ya autenticada.

La operación observada comenzó con la creación de una relación de confianza en lugar de un único correo electrónico no solicitado.

Un atacante, haciéndose pasar por un socio de un bufete de abogados, intercambió mensajes amistosos antes de enviar un enlace, haciendo que la solicitud pareciera parte de una conversación de negocios ya existente.

El texto visible del enlace parecía familiar, pero la ruta pasaba a través de una página de Google Sites, redireccionadores abiertos comprometidos y un aviso falso de comprobación humana diseñado para retrasar el análisis automatizado.

La página final se asemejaba a un portal de documentos e instruía al objetivo para que introdujera un código de verificación mostrado en la página real de inicio de sesión de Microsoft.

La actividad en la nube revela la intrusión

Los investigadores señalaron que, en un caso, un atacante inició sesión desde el extranjero a las pocas horas de que la víctima aprobara la solicitud.

El operador registró varios dispositivos, creó una regla de buzón oculta para enterrar las respuestas y rebotar mensajes, y luego utilizó el buzón para enviar más correos de phishing a contactos externos.

Los administradores deben tratar los inicios de sesión por código de dispositivo como eventos que requieren una explicación, especialmente donde el flujo de trabajo no es necesario.

La actividad del Agente de Autenticación desde un país desconocido o un dispositivo no gestionado, los registros rápidos de dispositivos, los cambios inesperados en las reglas del buzón y las alertas de "viaje imposible" pueden exponer conjuntamente una toma de control en curso.

El riesgo de manipulación oculta del correo también queda ilustrado por las reglas de buzón ocultas.

El paso preventivo más eficaz es desactivar el flujo de código de dispositivo OAuth en cualquier lugar donde la organización no lo requiera genuinamente, permitiendo excepciones estrictas y documentadas donde sea necesario.

Las organizaciones también deben limitar el registro de dispositivos, exigir dispositivos gestionados para el acceso a datos sensibles, aplicar controles basados en la ubicación y revocar sesiones cuando aumente el riesgo de inicio de sesión.

La concienciación del usuario sigue siendo esencial porque la víctima está interactuando con una página real de Microsoft.

El personal debe considerar como sospechosa cualquier solicitud inesperada de introducir o leer un código y reportarla inmediatamente, mientras las organizaciones avanzan hacia métodos de MFA resistentes al phishing siempre que sea posible.

Informes recientes sobre el robo de sesiones protegidas por MFA muestran por qué un inicio de sesión aprobado no debe tratarse automáticamente como un inicio de sesión seguro.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio de remitente/impersonación	rlcounsel[.]com	Dominio utilizado para la suplantación del remitente.
Dominio de remitente/impersonación	cholaw-kr[.]co	Dominio utilizado para la suplantación del remitente.
Página de señuelo	sites.google[.]com/view/businessprofileoverview	Ruta de la página de señuelo en host de confianza.
Página de señuelo	sites.google[.]com/corporateprofiledetails	Ruta de la página de señuelo en host de confianza.
Página de señuelo	sites.google[.]com/profileportfoliodetailsdata	Ruta de la página de señuelo en host de confianza.
Redireccionador abierto	eusei[.]com/dir/redirects.php	Redireccionador comprometido utilizado en la cadena de entrega.
Redireccionador abierto	cineuropa[.]org/nll.aspx	Redireccionador comprometido utilizado en la cadena de entrega.
Redireccionador abierto	zrdesignlabo[.]com/st-manager/click/track	Redireccionador comprometido utilizado en la cadena de entrega.
Endpoint de phishing	up88qope1z[.]hlpadditives[.]com	Endpoint de infraestructura de phishing.
Endpoint de phishing	zr6dgshpvf[.]flosli[.]com	Endpoint de infraestructura de phishing.
Endpoint de phishing	profileupdate-collaboration[.]stefan-dufva[.]workers[.]dev	Endpoint de infraestructura de phishing.
Dirección IP del atacante	104.219.238[.]253	Dirección IP asociada con la actividad del atacante.
Dirección IP del atacante	43.165.1[.]42	Dirección IP asociada con la actividad del atacante.
Dirección IP del atacante	40.124.130[.]50	Dirección IP asociada con la actividad del atacante.
Dirección IP del atacante	18.118.111[.]82	Dirección IP asociada con la actividad del atacante.
Dirección IP del atacante	83.136.210[.]246	Dirección IP asociada con la actividad del atacante.

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-let-victims-complete-mfa/