Durante julio de 2026, los ciberdelincuentes demostraron que herramientas empresariales confiables, como las páginas de autenticación de Microsoft, las invitaciones a eventos de Zoom y portales gubernamentales oficiales, pueden ser utilizadas como armas contra objetivos corporativos. Según investigaciones de ANY.RUN, atacantes en Estados Unidos, Europa y Brasil explotaron sistemáticamente los flujos de trabajo rutinarios para evadir controles de seguridad, robar credenciales y mantener el acceso.

Los ciberdelincuentes pasaron julio de 2026 demostrando que las utilidades empresariales confiables, incluidas las páginas de autenticación de Microsoft, las invitaciones a eventos de Zoom y los portales gubernamentales oficiales, pueden ser convertidas en armas contra objetivos corporativos.

La investigación de inteligencia de amenazas de ANY.RUN revela que los atacantes en Estados Unidos, Europa y Brasil explotaron sistemáticamente los flujos de trabajo corporativos rutinarios para evadir los controles de seguridad perimetrales, recolectar credenciales y mantener acceso a largo plazo a los sistemas.

Convierten sitios confiables en herramientas de ataque

La tendencia definitoria del panorama de amenazas de julio fue la explotación de la legitimidad de las plataformas. Las operaciones de phishing dirigieron sistemáticamente a los objetivos a través de SharePoint, OneDrive, Microsoft Forms e interfaces de autenticación legítimas antes de entregar las cargas útiles maliciosas.

Una plataforma de phishing como servicio (PhaaS) conocida como Kratos desplegó señuelos de intercambio de documentos y estilo DocuSign para canalizar a los usuarios de Microsoft 365 a través de una infraestructura de nube confiable hacia páginas de recolección de credenciales.

Debido a que estas cadenas de redireccionamiento imitaban los flujos de trabajo administrativos estándar, tanto las pasarelas de seguridad automatizadas como los objetivos humanos permitieron el tráfico.

Simultáneamente, una campaña rastreada como Kali365 abusó del flujo de autenticación de código de dispositivo genuino de Microsoft. Al dirigir a las víctimas a puntos finales de inicio de sesión auténticos de Microsoft e inducirlas a ingresar códigos de autorización generados por el atacante, los adversarios obtuvieron tokens OAuth.

Estos tokens de identidad robados otorgaron acceso persistente en la nube a archivos de correo electrónico y repositorios compartidos sin necesidad de recolectar las contraseñas de las cuentas. La campaña registró más de 80 detecciones semanales en sandbox en los sectores de manufactura, salud, gobierno y consultoría.

Los adversarios expandieron aún más los mecanismos de entrega abusando de páginas legítimas de Eventos de Zoom, creando cumbres falsas relacionadas con conferencias de socios de OpenAI, Anthropic y Meta. Al hacer clic en el botón “Continuar para registrarse”, los objetivos eran redirigidos a interfaces de phishing de código de dispositivo o proxies de adversario en el medio (AiTM).

Como se detalla en el análisis de campaña de ANY.RUN, las operaciones de ciberamenazas regionales también convirtieron en armas dominios confiables del sector público.

En Brasil, la campaña PhantomEnigma comprometió más de 20 portales web municipales y policiales (.gov.br) para alojar malware. Cuentas de correo municipal secuestradas enviaron señuelos de phishing que superaron con éxito las verificaciones SPF, DKIM y DMARC.

Las intrusiones en un solo dispositivo frecuentemente derivaron en un riesgo operativo para toda la empresa. Cargas útiles modulares como DestinyStealer recolectaron credenciales del navegador, cookies de sesión, datos de Outlook, perfiles de VPN, inicios de sesión de FileZilla y monederos de criptomonedas, exfiltrando datos a través de canales paralelos HTTP y TCP.

Estas variantes especializadas de malware infostealer continúan evadiendo la detección tradicional de antivirus estáticos.

Durante una intrusión activa, los investigadores monitorearon a un operador desplegando OVERLORD RAT a través de un canal de comando y control en vivo.

En 45 minutos, el atacante exfiltró 86 MB de archivos confidenciales, sesiones de navegador, registros de mensajería interna y almacenes de monederos cripto.

Mientras tanto, las actualizaciones de variantes de Banana RAT introdujeron estructuras de archivos aleatorias y comunicaciones WebSocket cifradas, mientras que campañas secundarias desplegaron DARTHVADER Stealer a través de archivos de acceso directo maliciosos utilizando utilidades nativas de Windows, AutoIt y cadenas de scripts de PowerShell.

Los adversarios confían en esta infraestructura de comando resiliente para mantener un acceso persistente tras la ejecución inicial del endpoint.

Campaña / Amenaza	Vector Principal de Armamentización	Impacto Operativo
Kratos PhaaS	Redirecciones de nube confiables y señuelos de DocuSign	Robo de credenciales de M365 y acceso a la nube
Kali365	Abuso del flujo de inicio de sesión por código de dispositivo OAuth	Recolección persistente de tokens sin contraseña
Operaciones de Señuelos de Zoom	Páginas falsas de registro de eventos de cumbres de IA	Redireccionamiento AiTM y recolección de credenciales
PhantomEnigma	Portales .gov.br comprometidos y correo gubernamental	Evasión de autenticación de correo legítimo y entrega de RAT
OVERLORD / Banana RAT	Canales C2 en vivo y WebSockets cifrados	Exfiltración de datos en tiempo real y acceso persistente

Un hallazgo crítico de estas campañas de julio es que los actores de amenazas rotan su infraestructura mucho más rápido de lo que las listas negras tradicionales pueden actualizarse. Los simples restablecimientos de contraseña a menudo fallan en remediar las intrusiones cuando los tokens OAuth activos o las cookies de sesión siguen siendo válidos en manos del atacante.

Fuentes:
https://cybersecuritynews.com/hackers-turned-microsoft-logins-into-attack-tools/