Durante el a\u00f1o pasado, se encontraron m\u00e1s de 140.000 sitios web de phishing vinculados a una plataforma de phishing como servicio (PhaaS) llamada Sniper Dz, lo que indica que est\u00e1 siendo utilizada por una gran cantidad de ciberdelincuentes para llevar a cabo el robo de credenciales.<\/p>\n
“Para posibles phishers, Sniper Dz ofrece un panel de administraci\u00f3n en l\u00ednea con un cat\u00e1logo de p\u00e1ginas de phishing”, dijeron los investigadores de la Unidad 42 de Palo Alto Networks, Shehroze Farooqi, Howard Tong y Alex Starov. dicho<\/a> en un informe t\u00e9cnico.<\/p>\n “Los phishing pueden alojar estas p\u00e1ginas de phishing en la infraestructura propiedad de Sniper Dz o descargar plantillas de phishing de Sniper Dz para alojarlas en sus propios servidores”.<\/p>\n Quiz\u00e1s lo que lo hace a\u00fan m\u00e1s lucrativo es que estos servicios se brindan de forma gratuita. Dicho esto, las credenciales obtenidas mediante los sitios de phishing tambi\u00e9n se filtran a los operadores de la plataforma PhaaS, una t\u00e9cnica que Microsoft llama doble robo.<\/p>\n Las plataformas PhaaS se han convertido en una forma cada vez m\u00e1s com\u00fan para que los aspirantes a actores de amenazas ingresen al mundo del cibercrimen, permitiendo incluso a aquellos con poca experiencia t\u00e9cnica montar ataques de phishing a escala.<\/p>\n Estos kits de phishing se pueden comprar en Telegram, con canales y grupos dedicados que atienden todos y cada uno de los aspectos de la cadena de ataque, desde los servicios de alojamiento hasta el env\u00edo de mensajes de phishing.<\/p>\n Sniper Dz no es una excepci\u00f3n, ya que los actores de amenazas operan un canal de Telegram con m\u00e1s de 7170 suscriptores al 1 de octubre de 2024. El canal se cre\u00f3 el 25 de mayo de 2020.<\/p>\n Curiosamente, un d\u00eda despu\u00e9s de que se publicara el informe de la Unidad 42, las personas detr\u00e1s del canal habilitaron el opci\u00f3n de eliminaci\u00f3n autom\u00e1tica<\/a> para borrar autom\u00e1ticamente todas las publicaciones despu\u00e9s de un mes. Esto probablemente sugiere un intento de ocultar rastros de su actividad, aunque los mensajes anteriores permanecen intactos en el historial de chat.<\/p>\n Se puede acceder a la plataforma PhaaS en clearnet y requiere registrar una cuenta para “obtener sus estafas y herramientas de pirater\u00eda”, seg\u00fan la p\u00e1gina de inicio del sitio web.<\/p>\n un v\u00eddeo subido<\/a> a Vimeo en enero de 2021 muestra que el servicio ofrece plantillas fraudulentas listas para usar para varios sitios en l\u00ednea como X, Facebook, Instagram, Skype, Yahoo, Netflix, Steam, Snapchat y PayPal en ingl\u00e9s, \u00e1rabe y franc\u00e9s. El v\u00eddeo tiene m\u00e1s de 67.000 visitas hasta la fecha.<\/p>\n The Hacker News tambi\u00e9n ha identificado<\/a> v\u00eddeos tutoriales<\/a> subido a YouTube que lleva a los espectadores a trav\u00e9s de los diferentes pasos necesarios para descargar plantillas de Sniper Dz y configurar p\u00e1ginas de destino falsas para PUBG y Free Fire en plataformas leg\u00edtimas como Google Blogger.<\/p>\n Sin embargo, no est\u00e1 claro si tienen alguna conexi\u00f3n con los desarrolladores de Sniper Dz o si son simplemente clientes del servicio.<\/p>\n Sniper Dz tiene la capacidad de alojar p\u00e1ginas de phishing en su propia infraestructura y proporcionar enlaces personalizados que apunten a esas p\u00e1ginas. Luego, estos sitios se ocultan detr\u00e1s de un servidor proxy leg\u00edtimo (proxymesh[.]com) para evitar la detecci\u00f3n.<\/p>\n “El grupo detr\u00e1s de Sniper Dz configura este servidor proxy para cargar autom\u00e1ticamente contenido de phishing desde su propio servidor sin comunicaciones directas”, dijeron los investigadores.<\/p>\n “Esta t\u00e9cnica puede ayudar a Sniper Dz a proteger sus servidores backend, ya que el navegador de la v\u00edctima o un rastreador de seguridad considerar\u00e1 que el servidor proxy es responsable de cargar la carga \u00fatil de phishing”.<\/p>\n La otra opci\u00f3n para los ciberdelincuentes es descargar plantillas de p\u00e1ginas de phishing sin conexi\u00f3n como archivos HTML y alojarlas en sus propios servidores. Adem\u00e1s, Sniper Dz ofrece herramientas adicionales para convertir plantillas de phishing al formato de Blogger que luego podr\u00edan alojarse en dominios de Blogspot.<\/p>\n Las credenciales robadas finalmente se muestran en un panel de administraci\u00f3n al que se puede acceder iniciando sesi\u00f3n en el sitio clearnet. La Unidad 42 dijo que observ\u00f3 un aumento en la actividad de phishing utilizando Sniper Dz, dirigida principalmente a usuarios web en los EE. UU., a partir de julio de 2024.<\/p>\n “Las p\u00e1ginas de phishing de Sniper Dz extraen las credenciales de las v\u00edctimas y las rastrean a trav\u00e9s de una infraestructura centralizada”, dijeron los investigadores. “Esto podr\u00eda ayudar a Sniper Dz a recopilar las credenciales de las v\u00edctimas robadas por phishers que utilizan su plataforma PhaaS”.<\/p>\n El desarrollo se produce cuando Cisco Talos revel\u00f3 que los atacantes est\u00e1n abusando de las p\u00e1ginas web conectadas a la infraestructura SMTP backend, como p\u00e1ginas de formularios de creaci\u00f3n de cuentas y otras que env\u00edan un correo electr\u00f3nico al usuario, para evitar los filtros de spam y distribuir correos electr\u00f3nicos de phishing.<\/p>\n Estos ataques aprovechan la mala validaci\u00f3n y desinfecci\u00f3n de las entradas que prevalecen en estos formularios web para incluir enlaces y texto maliciosos. Otras campa\u00f1as llevan a cabo ataques de relleno de credenciales contra servidores de correo de organizaciones leg\u00edtimas para obtener acceso a cuentas de correo electr\u00f3nico y enviar spam.<\/p>\n “Muchos sitios web permiten a los usuarios registrarse para obtener una cuenta e iniciar sesi\u00f3n para acceder a funciones o contenidos espec\u00edficos”, dijo el investigador de Talos, Jaeson Schultz. dicho<\/a>. “Por lo general, tras el registro exitoso del usuario, se env\u00eda un correo electr\u00f3nico al usuario para confirmar la cuenta”.<\/p>\n “En este caso, los spammers han sobrecargado el campo del nombre con texto y un enlace, que desafortunadamente no est\u00e1 validado ni desinfectado de ninguna manera. El correo electr\u00f3nico resultante a la v\u00edctima contiene el enlace del spammer”.<\/p>\n Tambi\u00e9n sigue al descubrimiento de una nueva campa\u00f1a de phishing por correo electr\u00f3nico que aprovecha un documento aparentemente inofensivo de Microsoft Excel para propagar una variante sin archivos de Remcos RAT mediante la explotaci\u00f3n de una falla de seguridad conocida (CVE-2017-0199). <\/p>\n “Al abrir el [Excel] archivo, los objetos OLE se utilizan para desencadenar la descarga y ejecuci\u00f3n de una aplicaci\u00f3n HTA maliciosa”, dijo el investigador de Trellix Trishaan Kalra. dicho<\/a>. “Esta aplicaci\u00f3n HTA lanza posteriormente una cadena de comandos de PowerShell que culminan con la inyecci\u00f3n de un Remcos RAT sin archivos en un proceso leg\u00edtimo de Windows”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Las-herramientas-de-phishing-gratuitas-de-Sniper-Dz-impulsan-mas.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n