Los investigadores de ciberseguridad est\u00e1n llamando la atenci\u00f3n sobre un nuevo tipo de esquema de phishing de credencial que garantiza que la informaci\u00f3n robada est\u00e9 asociada con cuentas en l\u00ednea v\u00e1lidas.<\/p>\n
La t\u00e9cnica ha sido nombrada en c\u00f3digo Phishing de validaci\u00f3n de precisi\u00f3n por Cofense, que seg\u00fan \u00e9l emplea la validaci\u00f3n de correo electr\u00f3nico en tiempo real para que solo se sirva un conjunto selecto de objetivos de alto valor de las pantallas de inicio de sesi\u00f3n falsas.<\/p>\n
“Esta t\u00e1ctica no solo le da a los actores de amenaza una tasa de \u00e9xito m\u00e1s alta en la obtenci\u00f3n de credenciales utilizables, ya que solo se involucran con una lista espec\u00edfica de cuentas de correo electr\u00f3nico v\u00e1lidas previamente alberguidas”, la compa\u00f1\u00eda dicho<\/a>.<\/p>\n A diferencia de las campa\u00f1as de recolecci\u00f3n de credenciales de “spray and-propy” que generalmente implican la distribuci\u00f3n masiva de correos electr\u00f3nicos de spam para obtener informaci\u00f3n de inicio de sesi\u00f3n de las v\u00edctimas de manera indiscriminada, la \u00faltima t\u00e1ctica de ataque lleva la phishing de lanza al siguiente nivel al participar solo en direcciones de correo electr\u00f3nico que los atacantes han verificado como activos, leg\u00edtimos y de alto valor.<\/p>\n En este escenario, la direcci\u00f3n de correo electr\u00f3nico ingresada por la v\u00edctima en una p\u00e1gina de destino de phishing se valida contra la base de datos del atacante, despu\u00e9s de lo cual se muestra la p\u00e1gina de inicio de sesi\u00f3n falsa. Si la direcci\u00f3n de correo electr\u00f3nico no existe en la base de datos, la p\u00e1gina devuelve un error o el usuario se redirige a una p\u00e1gina inocua como Wikipedia para evadir el an\u00e1lisis de seguridad.<\/p>\n Las verificaciones se llevan a cabo integrando un servicio de validaci\u00f3n basado en APIA o JavaScript en el kit de phishing que confirma la direcci\u00f3n de correo electr\u00f3nico antes de continuar con el paso de captura de contrase\u00f1a.<\/p>\n “Aumenta la eficiencia del ataque y la probabilidad de que las credenciales robadas pertenezcan a cuentas reales y utilizadas activamente, mejorando la calidad de los datos cosechados para reventa o una mayor explotaci\u00f3n”, dijo Cofense.<\/p>\n “Los rastreadores de seguridad automatizados y los entornos de sandbox tambi\u00e9n luchan por analizar estos ataques porque no pueden evitar el filtro de validaci\u00f3n. Este enfoque dirigido reduce el riesgo de los atacantes y extiende la vida \u00fatil de las campa\u00f1as de phishing”.<\/p>\n El desarrollo se produce cuando la compa\u00f1\u00eda de seguridad cibern\u00e9tica tambi\u00e9n revel\u00f3 detalles de una campa\u00f1a de phishing de correo electr\u00f3nico que utiliza recordatorios de eliminaci\u00f3n de archivos como un se\u00f1uelo para obtener credenciales y entregar malware.<\/p>\n El ataque de dos puntas aprovecha una URL integrada que aparentemente apunta a un archivo PDF que est\u00e1 programado para eliminarse de un servicio leg\u00edtimo de almacenamiento de archivos llamado Files.fm. Si el destinatario del mensaje hace clic en el enlace, se llevan a los archivos leg\u00edtimos. Enlace de FM desde donde pueden descargar el supuesto archivo PDF.<\/p>\n Sin embargo, cuando el Se abre PDF<\/a>a los usuarios se les presenta dos opciones para obtener una vista previa o descargar el archivo. Los usuarios que optan por el primero son llevados a una falsa pantalla de inicio de sesi\u00f3n de Microsoft que est\u00e1 dise\u00f1ada para robar sus credenciales. Cuando se selecciona la opci\u00f3n de descarga, deja caer un ejecutable que afirma ser Microsoft OneDrive, pero, en realidad, es el software de escritorio remoto ScreenConnect desde Connectwise.<\/p>\n Es “casi como si el actor de amenaza dise\u00f1ara intencionalmente el ataque para atrapar al usuario, oblig\u00e1ndolos a elegir a qu\u00e9 ‘veneno’ caer\u00e1n”, Cofense dicho<\/a>. “Ambas opciones conducen al mismo resultado, con objetivos similares pero diferentes enfoques para lograrlos”.<\/p>\n Los hallazgos tambi\u00e9n siguen el descubrimiento de un sofisticado ataque de varias etapas que combina herramientas de acceso remoto y salpicaderos y t\u00e9cnicas de vida de la tierra para obtener acceso inicial y establecer persistencia. La artesan\u00eda observada en la actividad es consistente con los grupos rastreados como Storm-1811 (tambi\u00e9n conocido como STAC5777).<\/p>\n “El actor de amenazas explot\u00f3 los canales de comunicaci\u00f3n expuestos al entregar una carga \u00fatil de PowerShell maliciosa a trav\u00e9s de un mensaje de los equipos de Microsoft, seguido del uso de asistencia r\u00e1pida para acceder de forma remota al entorno”, Ontinue dicho<\/a>. “Esto condujo al despliegue de binarios firmados (por ejemplo, TeamViewer.exe), una DLL maliciosa (TV.DLL) latido y, en \u00faltima instancia, una puerta trasera C2 basada en JavaScript ejecutada a trav\u00e9s de Node.js.”<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Las-campanas-de-phishing-usan-cheques-en-tiempo-real-para.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n