Atrás 
Resumen
En julio de 2024, Netskope Threat Labs rastreó un aumento de 2.000 veces en el tráfico de páginas de phishing entregadas a través de Microsoft Sway. La mayoría de las páginas de captura de credenciales investigadas utilizaron "Quishing", una forma de phishing que utiliza un código QR para engañar a los usuarios para que accedan a un sitio web malicioso. Las campañas de phishing se dirigieron a las credenciales de MS Office, utilizando documentos para atraer a los usuarios para que iniciaran sesión. Las campañas se han dirigido a las víctimas principalmente en Asia y América del Norte en múltiples segmentos liderados por la tecnología, la fabricación y las finanzas.
Los atacantes instruyen a sus víctimas para que usen su dispositivo móvil para escanear el código QR con la esperanza de que estos dispositivos móviles carezcan de las estrictas medidas de seguridad que generalmente se encuentran en los emitidos por las empresas, lo que garantiza un acceso sin restricciones al sitio de phishing. Además, estas campañas de phishing QR emplean dos técnicas de publicaciones anteriores: el uso de phishing transparente y Cloudflare Turnstile. El phishing transparente garantiza que las víctimas accedan al contenido exacto de la página de inicio de sesión legítima y puede permitirles eludir medidas de seguridad adicionales como la autenticación multifactor. Mientras tanto, Cloudflare Turnstile se utilizó para ocultar la carga útil de phishing de los escáneres de contenido estáticos, preservando la buena reputación de su dominio.
Echemos un vistazo más de cerca a estas campañas de phishing:
Se abusa de Microsoft Sway para publicar contenido de suplantación de identidad (phishing)
Sway es una aplicación gratuita dentro de Microsoft 365 que ayuda a los usuarios a presentar ideas con un lienzo basado en la web, lo que significa que cualquier persona con una cuenta de Microsoft puede enviar presentaciones sin costo alguno. Este acceso gratuito, sin embargo, lo hace atractivo para los atacantes por el abuso, como hemos observado anteriormente sobre su propensión a usar aplicaciones gratuitas en la nube.
Mediante el uso de aplicaciones legítimas en la nube, los atacantes proporcionan credibilidad a las víctimas, ayudándolas a confiar en el contenido que sirven. Además, una víctima usa su cuenta de Microsoft 365 en la que ya ha iniciado sesión cuando abre una página de Sway, lo que también puede ayudar a persuadirlos sobre su legitimidad. Sway también puede compartirse a través de un enlace (enlace URL o enlace visual) o incrustarse en un sitio web mediante un iframe.
En los últimos seis meses, Netskope Threat Labs observó poco o ningún tráfico malicioso utilizando Microsoft Sway. Sin embargo, en julio de 2024, observamos un aumento de 2.000 veces en el tráfico a páginas de phishing únicas de Microsoft Sway. Las páginas que investigamos estaban orientadas a cuentas de Microsoft 365.
Es importante tener en cuenta que Microsoft anunció en 2023 que las aplicaciones y servicios de Microsoft 365 orientados al usuario están unificados en un dominio único y coherente (*[.] nube[.] Microsoft), que incluye Sway (anteriormente usando sway[.] microsoft[.] com). Cualquier regla para controlar previamente el tráfico a Microsoft Sway mediante el nombre de dominio debe actualizarse y los usuarios deben tener cuidado cuando una página de Sway les pida que inicien sesión. Use el siguiente formato de URL como referencia para identificar rápidamente una página de Microsoft Sway:
https://sway.cloud.microsoft/{16_alphanumeric_string}?ref={sharing_option}
Las opciones para compartir pueden ser enlace, Correo electrónico, Twitter, etc.
Phishing con código QR (Quishing)
Muchas de las campañas de phishing analizadas utilizaron el phishing con código QR, o "Quishing". El quishing es una forma de phishing en la que los atacantes incrustan URL en un código QR para redirigir a las víctimas a un sitio web malicioso.
Un código QR (código de respuesta rápida) es un tipo de código de barras de matriz bidimensional que puede almacenar datos. Los códigos QR comenzaron a usarse ampliamente en la vida diaria durante la pandemia de COVID-19. Los restaurantes comenzaron a emplear códigos QR para que los clientes accedieran al menú y hicieran pedidos, en lugar de solicitar un menú a un camarero. Como resultado, la gente se acostumbró a escanear códigos QR. Los atacantes abusaron de este comportamiento para redirigir a los usuarios desprevenidos a sitios web maliciosos.
El uso de códigos QR para redirigir a las víctimas a sitios web de phishing plantea algunos desafíos para los defensores. Dado que la URL está incrustada dentro de una imagen, los escáneres de Correo electrónico que solo pueden escanear contenido basado en texto pueden omitirse. Además, cuando a un usuario se le envía un código QR, puede usar otro dispositivo, como su teléfono móvil, para escanear el código. Dado que las medidas de seguridad implementadas en los dispositivos móviles, en particular los teléfonos celulares personales, no suelen ser tan estrictas como las de las computadoras portátiles y de escritorio, las víctimas suelen ser más vulnerables al abuso.
Las campañas de phishing analizadas parecen estar utilizando Google Chrome y QR Code Generator PRO para generar códigos QR.
Torniquete utilizado para evitar el análisis estático
Algunas campañas de Quishing utilizan Cloudflare Turnstile como capa adicional de protección contra escáneres de sitios web estáticos. Al igual que las campañas de phishing divulgadas anteriormente , los atacantes abusan de Cloudflare Turnstile para que la carga útil de phishing se oculte de los escáneres de URL estáticas en línea. Esta técnica evita que el dominio y la URL tengan una mala reputación de dominio, por lo que no serán bloqueados por los servicios de filtrado web. En el momento de escribir este artículo, esta página ya está eliminada y ya no se puede acceder a ella.
Phishing transparente para recopilar credenciales de usuario
Después de pasar la prueba CAPTCHA de Turnstile, la página de phishing de Microsoft 365 emplea una técnica de phishing transparente. Los sitios de phishing investigados son similares a nuestra publicación anterior, donde el código HTML es casi idéntico a la página de inicio de sesión legítima de Microsoft 365. Una diferencia es que todas las URL de inicio de sesión de Microsoft se reemplazan con el dominio de phishing, lo que recopila credenciales de inicio de sesión e inicia sesión en nombre de las víctimas.
El phishing tradicional recopila las credenciales proporcionadas por la víctima y las envía a otro sitio web comprometido o al mismo dominio que aloja el sitio de phishing. Posteriormente, pueden ser redirigidos a un sitio web legítimo para evitar sospechas.