Los investigadores de ciberseguridad han detallado un nuevo kit de phishing de adversario en el medio (AitM) que es capaz de acceder a cuentas de Microsoft 365 con el objetivo de robar credenciales y c\u00f3digos de autenticaci\u00f3n de dos factores (2FA) desde al menos octubre de 2024.<\/p>\n
El naciente kit de phishing ha sido denominado Sneaky 2FA por la empresa francesa de ciberseguridad Sekoia, que lo detect\u00f3 en estado salvaje en diciembre. Hasta este mes se han identificado casi 100 dominios que albergan p\u00e1ginas de phishing Sneaky 2FA, lo que sugiere una adopci\u00f3n moderada por parte de los actores de amenazas.<\/p>\n
“Este kit se vende como phishing como servicio (PhaaS) por el servicio de cibercrimen ‘Sneaky Log’, que opera a trav\u00e9s de un bot con todas las funciones en Telegram”, dijo la compa\u00f1\u00eda. dicho<\/a> en un an\u00e1lisis. “Seg\u00fan se informa, los clientes reciben acceso a una versi\u00f3n ofuscada con licencia del c\u00f3digo fuente y la implementan de forma independiente”.<\/p>\n Se han observado campa\u00f1as de phishing que env\u00edan correos electr\u00f3nicos relacionados con recibos de pago para incitar a los destinatarios a abrir documentos PDF falsos que contienen c\u00f3digos QR que, al escanearlos, los redireccionan a p\u00e1ginas Sneaky 2FA.<\/p>\n Sekoia dijo que las p\u00e1ginas de phishing est\u00e1n alojadas en una infraestructura comprometida, en su mayor\u00eda involucrando sitios web de WordPress y otros dominios controlados por el atacante. Las p\u00e1ginas de autenticaci\u00f3n falsas est\u00e1n dise\u00f1adas para completar autom\u00e1ticamente la direcci\u00f3n de correo electr\u00f3nico de la v\u00edctima para elevar su legitimidad.<\/p>\n El kit tambi\u00e9n cuenta con varias medidas anti-bot y anti-an\u00e1lisis, empleando t\u00e9cnicas como filtrado de tr\u00e1fico y desaf\u00edos Cloudflare Turnstile para garantizar que solo las v\u00edctimas que cumplan con ciertos criterios sean dirigidas a las p\u00e1ginas de recolecci\u00f3n de credenciales. Adem\u00e1s, ejecuta una serie de comprobaciones para detectar y resistir intentos de an\u00e1lisis utilizando herramientas de desarrollo de navegadores web. <\/p>\n Un aspecto notable de PhaaS es que los visitantes del sitio cuya direcci\u00f3n IP se origina en un centro de datos, proveedor de nube, bot, proxy o VPN son dirigidos a una p\u00e1gina de Wikipedia relacionada con Microsoft utilizando el c\u00f3digo href.[.]servicio de redirecci\u00f3n li. Esto ha llevado a TRAC Labs a darle el nombre WikiKit<\/a>.<\/p>\n “El kit de phishing Sneaky 2FA emplea varias im\u00e1genes borrosas como fondo para sus p\u00e1ginas falsas de autenticaci\u00f3n de Microsoft”, explic\u00f3 Sekoia. “Al utilizar capturas de pantalla de interfaces leg\u00edtimas de Microsoft, esta t\u00e1ctica tiene como objetivo enga\u00f1ar a los usuarios para que se autentiquen y obtengan acceso al contenido borroso”.<\/p>\n Investigaciones adicionales han revelado que el kit de phishing se basa en una verificaci\u00f3n con un servidor central, probablemente el operador, que garantiza que la suscripci\u00f3n est\u00e9 activa. Esto indica que s\u00f3lo los clientes con una clave de licencia v\u00e1lida pueden utilizar Sneaky 2FA para realizar campa\u00f1as de phishing. El kit se anuncia por $200 por mes.<\/p>\n Eso no es todo. Tambi\u00e9n se han descubierto referencias al c\u00f3digo fuente que apuntan a un sindicato de phishing llamado W3LL Store, que Group-IB expuso previamente en septiembre de 2023 como detr\u00e1s de un kit de phishing llamado W3LL Panel y varias herramientas para realizar ataques de compromiso de correo electr\u00f3nico empresarial (BEC).<\/p>\n Esto, junto con las similitudes en la implementaci\u00f3n del rel\u00e9 AitM, tambi\u00e9n ha planteado la posibilidad de que Sneaky 2FA pueda estar basado en el Panel W3LL. Este \u00faltimo tambi\u00e9n opera bajo un modelo de licencia similar que requiere controles peri\u00f3dicos con un servidor central.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/El-nuevo-kit-de-phishing-Sneaky-2FA-se-dirige-a.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n