Se ha detectado una sofisticada plataforma de Phishing-as-a-Service (PhaaS) llamada Mirage2FA, la cual permite a los ciberdelincuentes evadir la autenticación de múltiples factores (MFA). El sistema permite que los usuarios de Microsoft 365 completen su inicio de sesión habitual para luego robar secretamente la sesión autenticada. Investigadores de ANY.RUN revelaron que este marco de trabajo Adversary-in-the-Middle (AiTM) ha generado miles de posibles incidentes de compromiso desde finales de 2024.

Una sofisticada plataforma de Phishing-as-a-Service (PhaaS) comercializada como Mirage2FA está permitiendo que los actores de amenazas eviten la autenticación de múltiples factores (MFA), permitiendo que los usuarios de Microsoft 365 completen su proceso de inicio de sesión habitual antes de robar encubiertamente la sesión autenticada.

Investigadores de amenazas de ANY.RUN descubrieron que el marco de trabajo Adversary-in-the-Middle (AiTM) generó miles de posibles eventos de compromiso desde finales de 2024 hasta 2026, y la gran mayoría resultó en el secuestro de cookies de sesión en lugar de un simple robo de contraseñas.

Roban sesiones de Microsoft 365 después del MFA

En lugar de intentar romper los algoritmos de MFA directamente, Mirage2FA se posiciona directamente entre tú y los puntos finales de autenticación legítimos.

Cuando un empleado introduce sus credenciales corporativas y el código de un solo uso en un portal de inicio de sesión réplica cuidadosamente diseñado, el kit de herramientas envía inmediatamente esos datos al servicio real de Microsoft 365 a través de un canal WebSocket persistente.

Una vez que Microsoft valida el desafío de autenticación y emite los tokens de sesión, el motor de phishing intercepta y conserva las cookies de sesión autenticadas junto con las credenciales capturadas.

Los actores de amenazas que poseen estas cookies de sesión activas pueden acceder a los buzones de correo de los usuarios, repositorios de SharePoint, documentos de OneDrive y aplicaciones empresariales de inicio de sesión único (SSO) sin activar avisos de autenticación secundaria.

ANY.RUN atribuye la operación a un grupo de amenazas conocido como LinX Coders, identificando indicadores recurrentes como etiquetas de configuración LINXCODERSEMAIL, canales de telemetría de backend como linxlogsss y centros de desarrolladores dedicados.

La aparición de tales herramientas automatizadas de secuestro de sesiones refleja la rápida expansión de los kits modernos de phishing-as-a-service en el submundo del cibercrimen.

La telemetría recopilada del análisis de sandbox revela una exposición empresarial generalizada, que abarca 3,518 dominios de correo electrónico únicos y 9,426 cuentas objetivo, con aproximadamente 4,532 direcciones que presentan indicadores claros de un posible compromiso.

Las organizaciones de Estados Unidos fueron las más afectadas por la campaña, representando el 63.7 por ciento de las víctimas identificadas, mientras que también se identificaron infecciones en India, Singapur, el Reino Unido, Canadá, Arabia Saudita y Sudáfrica.

El sector tecnológico representó la mayor proporción de objetivos con un 19.2 por ciento, seguido por la manufactura con un 11.1 por ciento y la educación con un 9.9 por ciento, mientras que la salud, la consultoría y las finanzas completaron el volumen restante.

De los 9,332 eventos de compromiso registrados, el robo de cookies de sesión lideró con 4,561 instancias en 2,541 víctimas únicas. Los dispositivos móviles representaron un tercio de los inicios de sesión exitosos, resaltando la ventaja que obtienen los atacantes cuando revisas URLs ocultas en pantallas móviles más pequeñas.

La mercantilización de estos tokens refleja las ventas de alto volumen en los mercados de credenciales robadas en todo el mundo.

Parámetro de la Campaña	Detalles Técnicos	Impacto Operativo
Nombre del Kit	Mirage2FA (Atribuido a LinX Coders)	Intercepción de sesión AiTM en tiempo real
Vector de Objetivo Principal	Cargas de trabajo de Microsoft 365 y Entra ID SSO	Secuestro directo de sesión y acceso al buzón
Alcance Documentado	9,426 Cuentas Objetivo en 94 Países	4,532 Compromisos potenciales (63.7% EE. UU.)
Cargas de Entrega	Adjuntos HTML, XHTML y SVG ofuscados	Preparación basada en scripts y C2 WebSocket
Infraestructura C2	AS-Colocrossing (185.174.100.224)	Puntos finales persistentes (/api/xls/a1p2i.js)

La cadena de infección opera enteramente dentro del navegador de la víctima sin desplegar malware binario. Los señuelos de phishing llegan como adjuntos .htm, .xhtml o .svg y enlaces incrustados disfrazados de actualizaciones de RR.HH. corporativas y avisos de beneficios de jubilación, ocasionalmente enrutados a través de Amazon SES.

Una vez abierto, el archivo ejecuta un preparador que utiliza tokens por destinatario como LINXB64EMAIL para recuperar la lógica de recolección desde rutas de scripts remotas como /xls/<token>.js. El HTML ofuscado decodifica cargas útiles Base64 y aplica operaciones XOR usando la clave 0xAD, mientras que los señuelos SVG activan scripts en línea que redirigen el navegador al host de phishing activo.

Como se detalla en el análisis de investigación, los equipos de operaciones de seguridad deben centrar la búsqueda de amenazas en patrones estructurales en lugar de nombres de dominio rotativos. Con las búsquedas de Inteligencia de Amenazas en vivo, puedes compilar informes sobre malware y ataques de phishing.

Los indicadores clave incluyen solicitudes web que coinciden con /<código-de-tres-letras>/xls/*.js, puntos finales canónicos como /api/xls/a1p2i.js y WebSockets salientes establecidos inmediatamente después de la recuperación del script.

Implementar medidas proactivas para detener las campañas de phishing sigue siendo crítico para la postura de seguridad empresarial. Los restablecimientos de contraseña estándar son insuficientes para remediar el secuestro de sesiones activas, ya que los tokens existentes siguen siendo válidos hasta que se terminen manualmente.

Los equipos de seguridad deben invalidar inmediatamente todas las sesiones activas y refrescar los tokens, auditar los permisos OAuth del inquilino, imponer claves de seguridad de hardware FIDO2 y habilitar la Evaluación de Acceso Continuo (CAE) dentro de Microsoft Entra ID para neutralizar las cookies de sesión robadas.

Fuentes:
https://cybersecuritynews.com/microsoft-365-session-theft/