Un actor de amenazas desconocido ha sido vinculado a una campa\u00f1a de estafa masiva que explot\u00f3 una configuraci\u00f3n incorrecta de enrutamiento de correo electr\u00f3nico en las defensas del proveedor de seguridad de correo electr\u00f3nico Proofpoint para enviar millones de mensajes suplantando a varias empresas populares como Best Buy, IBM, Nike y Walt Disney, entre otras.<\/p>\n
“Estos correos electr\u00f3nicos se hac\u00edan eco de los rel\u00e9s de correo electr\u00f3nico oficiales de Proofpoint con firmas SPF y DKIM autenticadas, eludiendo as\u00ed las principales protecciones de seguridad, todo para enga\u00f1ar a los destinatarios y robar fondos y detalles de tarjetas de cr\u00e9dito”, dijo el investigador de Guardio Labs, Nati Tal. dicho<\/a> en un informe detallado compartido con The Hacker News.<\/p>\n La empresa de ciberseguridad ha dado a la campa\u00f1a el nombre Falsificaci\u00f3n de eco<\/strong>Se cree que la actividad comenz\u00f3 en enero de 2024, cuando el actor de amenazas aprovech\u00f3 la falla para enviar hasta tres millones de correos electr\u00f3nicos por d\u00eda en promedio, una cifra que alcanz\u00f3 un pico de 14 millones a principios de junio cuando Proofpoint comenz\u00f3 a implementar contramedidas.<\/p>\n “La parte m\u00e1s exclusiva y poderosa de este dominio es el m\u00e9todo de suplantaci\u00f3n de identidad, que pr\u00e1cticamente no deja ninguna posibilidad de darse cuenta de que no se trata de un correo electr\u00f3nico genuino enviado por esas empresas”, dijo Tal a la publicaci\u00f3n. <\/p>\n “Este concepto de EchoSpoofing es realmente poderoso. Es un poco extra\u00f1o que se est\u00e9 utilizando para phishing a gran escala como este en lugar de una campa\u00f1a de phishing selectivo, donde un atacante puede tomar r\u00e1pidamente la identidad de cualquier miembro real del equipo de la empresa y enviar correos electr\u00f3nicos a otros compa\u00f1eros de trabajo; eventualmente, a trav\u00e9s de ingenier\u00eda social de alta calidad, obtener acceso a datos internos o credenciales e incluso comprometer a toda la empresa.<\/p>\n La t\u00e9cnica, que implica que el actor de la amenaza env\u00ede los mensajes desde un servidor SMTP a un servidor privado virtual (VPS), es notable por el hecho de que cumple con Medidas de autenticaci\u00f3n y seguridad<\/a> como SPF y DKIM, que son las abreviaturas de Sender Policy Framework y DomainKeys Identified Mail, respectivamente, y se refieren a m\u00e9todos de autenticaci\u00f3n dise\u00f1ados para evitar que los atacantes imiten un dominio leg\u00edtimo.<\/p>\n Todo se remonta al hecho de que estos mensajes se enrutan desde varios inquilinos de Microsoft 365 controlados por el adversario, que luego se retransmiten a trav\u00e9s de las infraestructuras de correo electr\u00f3nico de los clientes empresariales de Proofpoint para llegar a los usuarios de proveedores de correo electr\u00f3nico gratuitos como Yahoo!, Gmail y GMX.<\/p>\n Este es el resultado de lo que Guardio describi\u00f3 como una “falla de configuraci\u00f3n s\u00faper permisiva” en los servidores de Proofpoint (“pphosted.com”) que esencialmente permit\u00eda a los spammers aprovechar la infraestructura de correo electr\u00f3nico para enviar mensajes.<\/p>\n “La causa principal es una funci\u00f3n de configuraci\u00f3n de enrutamiento de correo electr\u00f3nico modificable en los servidores de Proofpoint para permitir la retransmisi\u00f3n de mensajes salientes de las organizaciones desde los inquilinos de Microsoft 365, pero sin especificar qu\u00e9 inquilinos de M365 permitir”, Proofpoint dicho<\/a> en un informe de divulgaci\u00f3n coordinado compartido con The Hacker News.<\/p>\n “Cualquier infraestructura de correo electr\u00f3nico que ofrezca esta funci\u00f3n de configuraci\u00f3n de enrutamiento de correo electr\u00f3nico puede ser objeto de abuso por parte de los spammers”.<\/p>\n En otras palabras, un atacante puede utilizar la falla como arma para configurar inquilinos falsos de Microsoft 365 y enviar mensajes de correo electr\u00f3nico falsificados a los servidores de retransmisi\u00f3n de Proofpoint, desde donde se “reproducen” como mensajes digitales genuinos que se hacen pasar por los dominios de los clientes.<\/p>\n Esto, a su vez, se logra configurando el conector de correo electr\u00f3nico saliente de Exchange Server directamente al punto final vulnerable pphosted.com asociado con el cliente. Adem\u00e1s, una versi\u00f3n pirateada de un software leg\u00edtimo de entrega de correo electr\u00f3nico llamado PowerMTA<\/a> Se utiliza para enviar mensajes.<\/p>\n “El spammer utiliz\u00f3 una serie rotativa de servidores privados virtuales (VPS) alquilados de varios proveedores, usando muchas direcciones IP diferentes para iniciar r\u00e1fagas r\u00e1pidas de miles de mensajes a la vez desde sus servidores SMTP, enviados a Microsoft 365 para ser retransmitidos a los servidores de clientes alojados en Proofpoint”, dijo Proofpoint.<\/p>\n “Microsoft 365 acept\u00f3 estos mensajes falsificados y los envi\u00f3 a las infraestructuras de correo electr\u00f3nico de estos clientes para que se retransmitieran. Cuando se falsificaron los dominios de los clientes durante la retransmisi\u00f3n a trav\u00e9s de la infraestructura de correo electr\u00f3nico del cliente correspondiente, tambi\u00e9n se aplic\u00f3 la firma DKIM a medida que los mensajes transitaban por la infraestructura de Proofpoint, lo que hizo que los mensajes de spam fueran m\u00e1s f\u00e1ciles de entregar”.<\/p>\n Se sospecha que los operadores eligieron intencionalmente EchoSpoofing como una forma de generar ingresos ilegales y evitar el riesgo de exposici\u00f3n durante per\u00edodos prolongados de tiempo, ya que apuntar directamente a las empresas a trav\u00e9s de este modus operandi podr\u00eda haber aumentado dr\u00e1sticamente las posibilidades de ser detectado, poniendo en peligro todo el esquema.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Se-aprovecha-una-falla-de-enrutamiento-de-correo-electronico-de.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n<\/a><\/div>\n