Están suplantando a la Autoridad Tributaria de Israel mediante correos de phishing y sitios web gubernamentales falsos. Utilizan verificaciones tipo CAPTCHA para engañar a los empleados y lograr que instalen el software de acceso remoto SimpleHelp. Esta campaña, detectada desde septiembre de 2026, busca obtener acceso no autorizado a organizaciones israelíes simulando solicitudes rutinarias de documentos fiscales.

Suplantando a la Autoridad Tributaria de Israel a través de correos electrónicos de phishing, sitios web gubernamentales falsos y verificaciones tipo CAPTCHA para engañar a los empleados y lograr que ejecuten el software de acceso remoto SimpleHelp.

La campaña tiene como objetivo a organizaciones israelíes y convierte una solicitud ordinaria de documentos fiscales en un posible punto de entrada para el acceso no autorizado.

Observada desde septiembre de 2026, la actividad se centra en una tarea empresarial familiar para el personal de finanzas, contabilidad y administración.

En lugar de recibir un documento fiscal, los destinatarios descargan un archivo que contiene un ejecutable. El ataque refleja campañas de phishing más amplias que abusan de las herramientas RMM, donde software legítimo se convierte en una ruta hacia los sistemas de la empresa.

Investigadores de Cato Networks identificaron la infraestructura de entrega de la campaña y examinaron su uso de SimpleHelp.

En su informe de investigación del 3 de noviembre, los investigadores de Cato CTRL dijeron que sospechan una conexión con MuddyWater, aunque la evidencia no establece una atribución definitiva. CyberIL ya había informado sobre esta actividad.

Sitios web gubernamentales falsos y verificaciones CAPTCHA

El ataque comienza con un correo electrónico que afirma provenir de la Autoridad Tributaria de Israel. Los destinatarios que intentan entrar en la supuesta área de cuenta personal llegan a un sitio web similar al original.

Su nombre con temática gubernamental crea una conexión engañosa con el espacio de nombres web oficial del gobierno de Israel. La página presenta entonces una casilla de verificación, un botón de "Continuar" y una contraseña de archivo.

Estos detalles hacen que la descarga parezca un servicio de documentos protegidos. A diferencia de los ataques de comandos CAPTCHA falsos que instruyen a las víctimas a pegar comandos en la Terminal, esta cadena utiliza la verificación para dirigir a los usuarios hacia una descarga de archivo ZIP y el posterior lanzamiento de un ejecutable.

Dentro del archivo, el supuesto documento fiscal es en realidad un programa. Una muestra lleva un nombre de archivo en hebreo que significa “Autoridad Tributaria de Israel”, extendiendo la suplantación más allá del navegador.

Abrirlo puede desplegar SimpleHelp configurado para conectarse a una infraestructura controlada por los atacantes. SimpleHelp es un software de soporte remoto legítimo, no es malware por naturaleza.

Sus funciones normales incluyen el control del escritorio, acceso a la terminal, transferencias de archivos y diagnósticos del sistema. Cuando se despliega sin autorización, esas mismas funciones podrían permitir que un operador inspeccione los sistemas empresariales, ejecute comandos, recupere archivos o entregue herramientas adicionales.

La distinción entre capacidad y observación es importante. Cato describió estas funciones como usos potenciales del atacante, no como acciones confirmadas en esta campaña.

Su telemetría mostró una solicitud bloqueada a la infraestructura de la campaña, en lugar de una prueba de que un atacante haya completado una sesión de acceso remoto o haya robado información.

Vínculos sospechosos con MuddyWater y los límites de la evidencia

La evaluación de atribución de Cato se basa en el objetivo israelí, la suplantación adaptada localmente y el phishing que entrega software de acceso remoto legítimo.

Operaciones anteriores de acceso remoto de MuddyWater también involucraron SimpleHelp, proporcionando un contexto relevante. Sin embargo, las similitudes en las herramientas y los objetivos apoyan la sospecha, más que una identificación concluyente del operador.

La investigación de la infraestructura también utilizó búsquedas de FOFA para dos valores ETag de HTTP. Los investigadores encontraron ocho registros de servicio asociados con una dirección IP, incluyendo dos dominios de la campaña que muestran páginas de nginx de “Próximamente”.

Esos ocho registros no deben confundirse con ocho servidores separados o víctimas confirmadas. Cato notificó a SimpleHelp el 20 de octubre de 2026 y compartió la información del servidor al día siguiente.

SimpleHelp identificó ambas muestras como el Cliente de Acceso Remoto versión 5.4.5 y evaluó los hallazgos como un uso malicioso aparente de una versión antigua. Ninguna de las partes identificó evidencia de que se haya explotado alguna vulnerabilidad del software.

Eso separa esta campaña de incidentes anteriores de explotación de vulnerabilidades de SimpleHelp que involucraron despliegues de gestión remota comprometidos.

En este caso, el punto de entrada documentado fue la ingeniería social destinada a persuadir a los usuarios para que instalaran un cliente configurado por el atacante. Cato tampoco encontró evidencia de que la propia infraestructura de SimpleHelp hubiera sido comprometida en relación con esta actividad.

Fuentes:
https://cybersecuritynews.com/hackers-use-fake-government-websites/