- Operación de recopilación de credenciales de larga duración llevada a cabo por MCTO3022, dirigida a organizaciones en las que se suplantaba la identidad del departamento de recursos humanos
- Las campañas se basan en los requisitos de cumplimiento del manual del empleado y en las solicitudes de autorización de nóminas
- La última evolución de la campaña incluye una suplantación de identidad en Adobe PDF Sign que utiliza las herramientas de PDQConnect RMM en lugar de la recopilación tradicional de credenciales.
- Estas operaciones ponen de manifiesto técnicas avanzadas de ingeniería social que combinan falsas ofertas de empleo con señuelos relacionados con el cumplimiento normativo en diversos sectores.
Threat intelligence
La campaña centrada en los recursos humanos pasa de las credenciales a las herramientas de gestión de relaciones con los clientes (RMM)
Puntos clave
Resumen de la campaña
El equipo de investigación de amenazas de Mimecast sigue vigilando la campaña de recopilación de credenciales llevada a cabo por MCTO3022, que ataca sistemáticamente a las organizaciones mediante tácticas de suplantación de identidad del departamento de recursos humanos. Esta operación persistente combina las tácticas tradicionales de cumplimiento del manual del empleado con sistemas avanzados de autorización de nóminas, lo que demuestra una madurez operativa significativa y una gran capacidad de adaptación táctica a lo largo de períodos prolongados de campaña. Las iniciativas relacionadas con los recursos humanos suelen centrarse en la actualización del manual del empleado y en los requisitos de cumplimiento normativo, aprovechando las políticas de la organización que exigen la participación de los empleados en las comunicaciones de RR. HH.
Estas campañas se aprovechan del carácter rutinario de los procesos de cumplimiento normativo en materia de recursos humanos, haciendo que las comunicaciones maliciosas parezcan operaciones empresariales habituales que los empleados deben llevar a cabo sin demora. MCTO3022 demuestra su capacidad para eludir la detección mediante el uso indebido estratégico de servicios legítimos, entre los que se incluyen dominios de SharePoint para el alojamiento inicial de direcciones URL y plataformas de encuestas de Mailchimp para la recopilación de credenciales. Este enfoque basado en la infraestructura permite al autor de la amenaza aprovechar la confianza y la capacidad de entrega asociadas a las plataformas empresariales consolidadas, al tiempo que mantiene la flexibilidad operativa mediante la rápida rotación de dominios y el cambio de servicios.
El alcance de la operación va más allá de la recopilación tradicional de credenciales y abarca el reconocimiento basado en la contratación, en el que se publican ofertas de empleo falsas para puestos de representante regional con el fin de recabar información detallada de los solicitantes. Este enfoque de doble finalidad apunta a la existencia de sofisticadas capacidades de recopilación de información diseñadas para facilitar tanto el robo inmediato de credenciales como las actividades de reconocimiento organizativo a largo plazo.
Últimas novedades sobre la campaña: Implementación de PDQConnect RMM
Las actividades recientes de la campaña revelan que MCTO3022 ha evolucionado más allá de la recopilación tradicional de credenciales para implementar herramientas de supervisión y gestión remotas (RMM), concretamente PDQConnect, a través de sus ya conocidos señuelos de autorización de nóminas en formato Adobe PDF Sign. Este cambio táctico supone una escalada significativa de las capacidades del actor malicioso, que ha pasado del robo de credenciales al establecimiento de un acceso remoto persistente.
