Microsoft advierte sobre varias campa\u00f1as de phishing que est\u00e1n aprovechando temas relacionados con los impuestos para implementar malware y robar credenciales.<\/p>\n
“Estas campa\u00f1as utilizan notablemente m\u00e9todos de redirecci\u00f3n, como acortadores de URL y c\u00f3digos QR contenidos en archivos adjuntos maliciosos y abusos de servicios leg\u00edtimos como servicios de alojamiento de archivos y p\u00e1ginas de perfil comercial para evitar la detecci\u00f3n”, Microsoft dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n Un aspecto notable de estas campa\u00f1as es que conducen a p\u00e1ginas de phishing que se entregan a trav\u00e9s de una plataforma de phishing como servicio (PHAAS) con nombre en c\u00f3digo Raccoono365<\/a>una plataforma de delitos electr\u00f3nicos que sali\u00f3 a la luz por primera vez a principios de diciembre de 2024.<\/p>\n Tambi\u00e9n se entregan troyanos de acceso remoto (ratas) como REMCOS RAT, as\u00ed como otros marcos de malware y posteriores a la explotaci\u00f3n como Latrodectus, Ahkbot, Guloader y Bruteratel C4 (BRC4).<\/p>\n Se estima que una de esas campa\u00f1as vistas por el gigante tecnol\u00f3gico el 6 de febrero de 2025 envi\u00f3 cientos de correos electr\u00f3nicos dirigidos a los Estados Unidos antes de la temporada de presentaci\u00f3n de impuestos que intent\u00f3 entregar BRC4 y Latrodectus. La actividad se ha atribuido a Storm-0249, un corredor de acceso inicial anteriormente conocido por distribuir Bazaloader, IceDid, Bumblebee y Emotet.<\/p>\n Los ataques implican el uso de archivos adjuntos PDF que contienen un enlace que redirige a los usuarios a una URL acortada a trav\u00e9s de la marca de control, lo que finalmente los lleva a una p\u00e1gina de docusign falso con una opci\u00f3n para ver o descargar el documento.<\/p>\n “Cuando los usuarios hicieron clic en el bot\u00f3n de descarga en la p\u00e1gina de destino, el resultado depend\u00eda de si su sistema y direcci\u00f3n IP pod\u00edan acceder a la siguiente etapa basada en las reglas de filtrado configuradas por el actor de amenaza”, dijo Microsoft.<\/p>\n Si se permite el acceso, al usuario se le env\u00eda un archivo JavaScript que posteriormente descarga un instalador de software de Microsoft (MSI) para BRC4, que sirve como un conducto para implementar Latrodectus. Si la v\u00edctima no se considera un objetivo lo suficientemente valioso, se les env\u00eda un documento PDF benigno de RoyaleGroupnyc[.]com.<\/p>\n Microsoft dijo que tambi\u00e9n detect\u00f3 una segunda campa\u00f1a entre el 12 y el 28 de febrero de 2025, donde se enviaron correos electr\u00f3nicos de phishing con temas fiscales a m\u00e1s de 2,300 organizaciones en los Estados Unidos, particularmente dirigidos a sectores de ingenier\u00eda, TI y consultor\u00eda.<\/p>\n Los correos electr\u00f3nicos, en este caso, no ten\u00edan contenido en el cuerpo de mensajes, pero presentaban un archivo adjunto PDF que conten\u00eda un c\u00f3digo QR que apuntaba a un enlace asociado con los PHAA RACCOONO365 que imita las p\u00e1ginas de inicio de sesi\u00f3n de Microsoft 365 para enga\u00f1ar a los usuarios para que ingresen a sus credenciales.<\/p>\n En una se\u00f1al de que estas campa\u00f1as vienen en varias formas, los correos electr\u00f3nicos de phishing con temas fiscales tambi\u00e9n se han marcado como propagaci\u00f3n de otras familias de malware como Ahkbot y Guloader.<\/p>\n Se ha encontrado que las cadenas de infecci\u00f3n de Ahkbot dirigen a los usuarios a sitios que alojan un archivo malicioso de Microsoft Excel que, al abrir y habilitar macros, descarga y ejecuta un archivo MSI para iniciar un script de autohotkey, que luego descarga un m\u00f3dulo de captura de pantalla de captura de pantalla de captura de capturas de capturas del host y exfiltrate a un servidor remoto.<\/p>\n La campa\u00f1a de Guloader tiene como objetivo enga\u00f1ar a los usuarios para que haga clic en una URL presente dentro de un archivo adjunto de correo electr\u00f3nico PDF, lo que resulta en la descarga de un archivo zip.<\/p>\n “El archivo ZIP conten\u00eda varios archivos .lnk configurados para imitar documentos fiscales. Si el usuario lanz\u00f3, el archivo .lnk usa PowerShell para descargar un archivo PDF y un archivo .bat”, dijo Microsoft. “El archivo .bat a su vez descarg\u00f3 el ejecutable de Guloader, que luego instal\u00f3 REMCOS”.<\/p>\n El desarrollo se produce semanas despu\u00e9s de que Microsoft advirti\u00f3 sobre otra campa\u00f1a Storm-0249 que redirigi\u00f3 a los usuarios a sitios web falsos que anuncian Windows 11 Pro para ofrecer una versi\u00f3n actualizada del malware del cargador Latrodectus a trav\u00e9s de la herramienta Bruteratel Red-Taming.<\/p>\n “El actor de amenaza probablemente us\u00f3 Facebook para llevar el tr\u00e1fico a las p\u00e1ginas de descarga falsas de Windows 11 Pro, como observamos las URL de referentes de Facebook en m\u00faltiples casos”, Microsoft dicho<\/a> En una serie de publicaciones en X.<\/p>\n “Latrodectus 1.9, la \u00faltima evoluci\u00f3n del malware observada por primera vez en febrero de 2025, reintrodujo la tarea programada de persistencia y se agreg\u00f3 el comando 23, lo que permite la ejecuci\u00f3n de los comandos de Windows a trav\u00e9s de ‘cmd.exe \/c.'”.<\/p>\n La divulgaci\u00f3n tambi\u00e9n sigue un aumento en las campa\u00f1as que utilizan c\u00f3digos QR en documentos de phishing para disfrazar las URL maliciosas como parte de ataques generalizados dirigidos a Europa y los Estados Unidos, lo que resulta en un robo de credenciales.<\/p>\n “El an\u00e1lisis de las URL extra\u00eddas de los c\u00f3digos QR en estas campa\u00f1as revela que los atacantes suelen evitar, incluidas las URL que apuntan directamente al dominio de phishing”, la Unidad de Palo Alto Networks 42 dicho<\/a> en un informe. “En cambio, a menudo usan mecanismos de redirecci\u00f3n de URL o explotaci\u00f3n Redirecciones abiertas<\/a> en sitios web leg\u00edtimos “.<\/p>\n Estos hallazgos tambi\u00e9n vienen a ra\u00edz de varias campa\u00f1as de phishing e ingenier\u00eda social que se han marcado en las \u00faltimas semanas.<\/p>\n Para mitigar los riesgos planteados por estos ataques, es esencial que las organizaciones adopten m\u00e9todos de autenticaci\u00f3n resistentes a phishing para los usuarios, usen navegadores que puedan bloquear sitios web maliciosos y permitir que la protecci\u00f3n de la red evite que las aplicaciones o usuarios accedan a dominios maliciosos.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Microsoft-advierte-sobre-los-ataques-por-correo-electronico-con-temas.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n\n