Los intrusos se esconden detrás de SharePoint para exponer a las víctimas a estafas de phishing

A menudo hemos dicho en estas páginas que, en términos técnicos, el phishing es la forma más simple de cibercrimen. Aun así, llevar a cabo un ataque de phishing exitoso aún requiere cierta preparación, especialmente si los delincuentes se toman en serio lo que están haciendo. Recientemente, Milo Salvia de Cofense escribió sobre un ataque de phishing dirigido a instituciones financieras en el Reino Unido, por ejemplo, y debe decirse que, en su mayor parte, fue bastante bien pensado.

Un correo electrónico de phishing convincente

Los delincuentes comenzaron por comprometer la cuenta de correo electrónico de alguien que trabaja para Independent Legal Assessors Ltd. (ILA), una empresa con sede en Londres que brinda servicios legales. La firma del correo electrónico de phishing sugirió que fue enviado por David Philips quien, según LinkedIn , es el Director de ILA, aunque debemos señalar que debido a que Cofense redactó la dirección del remitente, no podemos estar seguros de quién perdió el control en la firma legal. de su cuenta de correo electrónico.

Aunque es bastante corto, el correo electrónico en sí no tiene los errores tipográficos o gramaticales habituales. Está bien formateado, lo que una vez más demuestra que los delincuentes realmente querían crear un esquema convincente. Según el mensaje, el Sr. Philips está enviando "una propuesta", que el objetivo debe revisar antes de "hacer más arreglos". Dicha propuesta supuestamente se puede descargar desde un enlace incluido en el cuerpo del mensaje.

El enlace está envuelto con la protección de URL Click-time de Symantec, que probablemente se hace con la intención de tranquilizar al objetivo. Después de todo, este servicio está diseñado para verificar la URL a la que apunta cada vez que un usuario hace clic en el enlace, y si algo está mal, debería bloquear todo el tráfico. La URL a la que apuntaba el enlace, sin embargo, no era maliciosa como tal.

Además de hacerse cargo de la cuenta de correo electrónico de ILA, los piratas informáticos comprometieron un perfil en la plataforma de colaboración de SharePoint y lo usaron para cargar un documento de OneNote. El archivo fue hecho para parecer una propuesta, pero el texto fue deliberadamente borroso. En la parte inferior, había un enlace que supuestamente permitiría al objetivo descargar una versión legible de la propuesta. Como puede imaginar, lleva a la página de phishing.

Según Milo Salvia, los delincuentes comprometieron un sitio web legítimo para alojar su página de phishing. Sin embargo, la información whois del dominio sugiere que este podría no ser el caso. El correo electrónico de administrador también se usó para el registro de algunos dominios que parecen diseñados específicamente para la tipificación de errores tipográficos .

El código fuente de la página de phishing le mostró a Salvia que las credenciales robadas se enviaron directamente a una cuenta de Gmail que, según el investigador, también fue comprometida por los phishers.

Una página de phishing poco convincente

En este punto, parece que tenemos un ataque de phishing bien pensado. El correo electrónico inicial proviene de una dirección legítima, se supone que la protección de URL de tiempo de clic asegura a los objetivos que no pasa nada, y el documento de SharePoint los empuja aún más a una falsa sensación de seguridad. Los phishers realmente lo respaldaron, y es de esperar que, a la luz de todo esto, toda la operación de robo de credenciales se termine con una página de phishing que esté lo más cerca posible del original. Sorprendentemente, sin embargo, los estafadores no se molestaron tanto con la parte final y más crucial de todo el ataque.

El portal de phishing se parece a la página de inicio de sesión de Office365 para empresas, pero la captura de pantalla que Cofense proporcionó muestra que es una imitación muy barata. A las víctimas se les dio la opción de iniciar sesión con sus credenciales de Office365 o con el nombre de usuario y la contraseña de cualquier otro proveedor de correo electrónico. Normalmente, esto se hace para maximizar la cantidad de información robada. En este caso particular, sin embargo, cualquiera que haya visto cómo se ve la página de inicio de sesión original sería difícil creer en el portal de phishing. Resulta que en realidad es un kit de phishing vendido por un grupo llamado Blackshop Tools. Dada la baja calidad, podemos imaginar que es una de las opciones más baratas.

Aunque el resto del ataque estuvo bien diseñado, la página de phishing obviamente falsa debería ser suficiente advertencia para la mayoría de las personas. Sin embargo, la próxima vez que intenten robar algunas credenciales de inicio de sesión, los delincuentes podrían optar por un kit de phishing de mayor calidad, lo que significa que debe ser tan cuidadoso como siempre, incluso cuando la comunicación en su bandeja de entrada parece completamente legítima.