Una nueva campa\u00f1a de ingenier\u00eda social de “difusi\u00f3n masiva” est\u00e1 dirigida a los usuarios del servidor de correo electr\u00f3nico de Zimbra Collaboration con el objetivo de recopilar sus credenciales de inicio de sesi\u00f3n para usarlas en operaciones de seguimiento.<\/p>\n
La actividad, activa desde abril de 2023 y a\u00fan en curso, est\u00e1 dirigida a una amplia gama de peque\u00f1as y medianas empresas y entidades gubernamentales, la mayor\u00eda de las cuales se encuentran en Polonia, Ecuador, M\u00e9xico, Italia y Rusia. No se ha atribuido a ning\u00fan actor o grupo de amenazas conocido.<\/p>\n
“Inicialmente, el objetivo recibe un correo electr\u00f3nico con una p\u00e1gina de phishing en el archivo HTML adjunto”, dijo Viktor \u0160perka, investigador de ESET. dicho<\/a> en un informe “El correo electr\u00f3nico advierte al objetivo sobre una actualizaci\u00f3n del servidor de correo electr\u00f3nico, la desactivaci\u00f3n de una cuenta o un problema similar y le indica al usuario que haga clic en el archivo adjunto”.<\/p>\n Los mensajes tambi\u00e9n falsifican la direcci\u00f3n del remitente para que parezca que provienen de un administrador de Zimbra en un probable intento de convencer a los destinatarios de que abran el archivo adjunto.<\/p>\n El archivo HTML contiene una p\u00e1gina de inicio de sesi\u00f3n de Zimbra adaptada a la organizaci\u00f3n objetivo, con el campo Nombre de usuario prellenado con la direcci\u00f3n de correo electr\u00f3nico de la v\u00edctima para que parezca m\u00e1s aut\u00e9ntico. Una vez que se ingresan las credenciales, se recopilan del formulario HTML y se env\u00edan a trav\u00e9s de una solicitud HTTPS POST a un servidor controlado por el actor.<\/p>\n Lo que hace que los ataques se destaquen es su capacidad de propagarse a\u00fan m\u00e1s. Oleadas posteriores de phishing han aprovechado cuentas de empresas leg\u00edtimas previamente atacadas, lo que sugiere que las cuentas de administrador infiltradas asociadas con esas v\u00edctimas se usaron para enviar correos electr\u00f3nicos a otras entidades de inter\u00e9s.<\/p>\n “Una explicaci\u00f3n es que el adversario se basa en la reutilizaci\u00f3n de la contrase\u00f1a por parte del administrador atacado a trav\u00e9s del phishing, es decir, que usa las mismas credenciales tanto para el correo electr\u00f3nico como para la administraci\u00f3n”, se\u00f1al\u00f3 \u0160perka.<\/p>\n Si bien la campa\u00f1a no es t\u00e9cnicamente sofisticada, se basa en el hecho de que “los archivos adjuntos HTML contienen c\u00f3digo leg\u00edtimo y el \u00fanico elemento revelador es un enlace que apunta al host malicioso” que est\u00e1 incrustado en el c\u00f3digo fuente.<\/p>\n “De esta manera, es mucho m\u00e1s f\u00e1cil eludir las pol\u00edticas antispam basadas en la reputaci\u00f3n, en comparaci\u00f3n con las t\u00e9cnicas de phishing en las que se coloca un enlace malicioso directamente en el cuerpo del correo electr\u00f3nico”, dijo \u0160perka.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/European-Bank-Customers-Targeted-in-SpyNote-Android-Trojan-Campaign.png\")
<\/a><\/center><\/section>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/1692383315_172_Nueva-ola-de-campana-de-ataque-dirigida-a-usuarios-de.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n