- Los ciberdelincuentes están aprovechando la temporada festiva para suplantar la identidad de servicios legítimos de invitaciones a fiestas, como Punchbowl, con el fin de distribuir herramientas de supervisión y gestión remotas (RMM).
- Dirigido principalmente a empresas estadounidenses de los sectores financiero, de servicios profesionales (contabilidad, asuntos jurídicos) e inmobiliario
- Los enlaces que figuran en estas invitaciones falsas redirigen a los usuarios a través de Google Sites y HubSpot para que descarguen el software cliente ScreenConnect RMM.
Threat intelligence
Las invitaciones a las fiestas navideñas incluyen herramientas de acceso remoto
Puntos clave
Resumen de la campaña
El equipo de investigación de amenazas de Mimecast ha identificado una campaña en curso que aprovecha la temporada festiva para distribuir herramientas de acceso remoto camufladas como invitaciones a fiestas navideñas; se han identificado más de 2.300 dominios como objetivos, principalmente en Estados Unidos, con una concentración notable en Australia. Esta técnica se basa en patrones ya conocidos de suplantación de identidad de servicios legítimos de gestión de invitaciones, como Evite y Punchbowl, para distribuir tanto páginas de suplantación de identidad destinadas a obtener credenciales como malware. La campaña actual supone una evolución de esta táctica y se centra específicamente en el mayor volumen de comunicaciones relacionadas con los eventos navideños de las empresas.
Flujo del ataque
El ataque comienza con correos electrónicos enviados desde cuentas de correo electrónico empresariales legítimas, pero que han sido comprometidas, lo que confiere una credibilidad inmediata al mensaje. Estas cuentas comprometidas suelen pertenecer a proveedores de servicios externos de confianza, como despachos de contabilidad, bufetes de abogados o consultoras empresariales. Los destinatarios reciben lo que parece ser una invitación auténtica a una fiesta o un acto festivo. El correo electrónico contiene un enlace que, supuestamente, ofrece información sobre el evento u opciones para confirmar la asistencia.
Al hacer clic en él, el enlace inicia una cadena de redireccionamientos en varias etapas diseñada para eludir la detección. En algunas campañas se observa que los usuarios son redirigidos a través de Google Sites o del servicio de interacción de HubSpot, lo que enmascara aún más el destino malicioso. En otras campañas, vemos una página de destino en la que se indica al usuario que haga clic en el botón «Descargar archivo», lo que iniciará la descarga. Las páginas de destino finales contienen instaladores del cliente ScreenConnect RMM que se hacen pasar por descargas de invitaciones a fiestas.
