Una campaña de phishing global afecta a 46 países, siendo Estados Unidos el principal objetivo, utilizando documentos falsos para engañar a las víctimas e instalar software de gestión remota (RMM). Los atacantes emplean una infraestructura altamente volátil que rota diariamente para evadir la detección, adaptando sus señuelos a diversos sectores como educación y gobierno. Expertos recomiendan centrarse en los patrones de comportamiento y activos persistentes del kit en lugar de depender únicamente de dominios o indicadores individuales.







Una campaña de phishing de RMM inicialmente asociada con objetivos canadienses debido al uso de formularios fiscales de la Agencia de Ingresos de Canadá (CRA) como señuelos, ha resultado ser parte de una campaña más amplia que abarca 46 países.

Alrededor del 45% de la actividad observada estuvo asociada con los Estados Unidos, convirtiéndolo en el principal objetivo geográfico de la campaña. Investigaciones de ANY.RUN conectaron 601 casos con la operación más extensa, la cual utiliza documentos falsos para engañar a las víctimas y hacer que instalen software legítimo de monitoreo y gestión remota (RMM).

Los atacantes adaptan sus señuelos a diferentes objetivos, utilizando comunicaciones de UPS y envíos, PDFs de Adobe, avisos fiscales, temas de la Administración de la Seguridad Social de EE. UU., facturas y otros documentos. El uso de una infraestructura de Vercel desechable y rotada rápidamente hace que la campaña sea más difícil de rastrear y detectar.

Amenaza centrada en ee. uu. con rotación diaria de infraestructura

Descripción general de la amenaza por ANY.RUN

La infraestructura de la campaña cambia significativamente más rápido que su patrón de ataque. Los investigadores de ANY.RUN identificaron 425 URLs de kits en 240 hosts, de los cuales el 94% fueron observados durante un solo día.

La operación ha utilizado Vercel, GitHub Pages, Netlify, sitios web comprometidos y otra infraestructura para la entrega. Los payloads también han sido alojados a través de servicios que incluyen Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox y GoFile.

A pesar de esta rápida rotación, el kit de phishing deja huellas más persistentes. Activos compartidos como font1.woff2, recursos de imágenes recurrentes y la estructura de entrega secure.html → project/*.zip ayudaron a los investigadores a conectar infraestructuras que parecían separadas a la misma campaña.

La educación, la tecnología y el gobierno se encuentran entre las industrias más atacadas. La banca, las finanzas y la manufactura también están prominentemente presentes.


Descripción general de la cadena de ataque por ANY.RUN

Los dominios individuales y los productos RMM son desechables, mientras que la cadena de entrega subyacente es más estable. Esto demuestra por qué la detección no puede depender únicamente de veredictos de malware, reputación o IOCs individuales.

Para detectar estos patrones y distinguir el uso legítimo de RMM del abuso, los equipos de SOC necesitan acceso al contexto conductual completo detrás de la actividad sospechosa.

Responde más rápido y reduce el riesgo en tu empresa con una visibilidad e inteligencia más profundas de más de 16K organizaciones. Potencia tu SOC con ANY.RUN.

Conclusiones clave de detección para equipos soc

* Crea una defensa agnóstica al producto: el software legítimo puede ser abusado y cambiado entre proveedores, lo que genera brechas de visibilidad. Mantén el enfoque en la cadena de entrega y la actividad de acceso remoto no autorizada.
* Detecta basándote en patrones de campaña: en lugar de confiar solo en los dominios, que en esta campaña rotan diariamente, prioriza indicadores de kit más estables, incluyendo el activo fmtt / font1.woff2, icons8-microsoft-word-94.png y la cadena secure.html → project/*.zip.
* Establece controles en la capa de correo y aumenta la concienciación del usuario: los equipos de SOC deben tener en cuenta la entrega de archivos protegidos por contraseña.
* Brinda a los analistas contexto conductual y de amenazas: el Sandbox Interactivo de ANY.RUN expuso la actividad del navegador, scripts, procesos, descargas y comportamiento de red de la campaña, mientras que la Búsqueda de Inteligencia de Amenazas conectó indicadores persistentes con infraestructuras y casos relacionados.


Uno de los señuelos, una página de phishing de Adobe, analizada dentro del Sandbox Interactivo de ANY.RUN

A medida que los atacantes combinan cada vez más software legítimo, servicios confiables e infraestructura desechable, los equipos de seguridad necesitan acceder y operativizar un contexto de amenazas profundo.

Fuente:
THN