Los investigadores de amenazas de Mimecast han detectado una campaña de malware que utiliza Sendinblue (ahora Brevo) para su distribución (registrada internamente como MCTO1020). Brevo es una plataforma de marketing integral que ofrece herramientas de correo electrónico, SMS, automatización y CRM para la interacción con los clientes. Las campañas se centran en utilizar señuelos relacionados con cuestiones de reservas para engañar a los usuarios y que hagan clic en enlaces que parecen proceder de booking.com. Sin embargo, estos enlaces utilizan el servicio de redireccionamiento de Sendinblue/Brevo para realizar un seguimiento de los clics y redirigir a sitios maliciosos propiedad de los autores de la amenaza. Dado que la mayoría de los usuarios acceden a sitios web personales desde dispositivos de la empresa, resulta importante destacar cómo se están utilizando los servicios personales para atacar dichos dispositivos.
Una vez redirigido, el usuario ve la página CAPTCHA a continuación, que contiene instrucciones para copiar y pegar comandos en el portapapeles como parte de un paso de verificación que se utilizará en el símbolo del sistema.
Una vez que el usuario ejecuta el comando, se descarga un ladrón de información, en este caso LummaC fue el malware identificado, que suele tener como objetivo las credenciales, los datos del navegador y las carteras de criptomonedas.
Esta campaña, que utiliza Brevo como método de distribución y redireccionamiento, se observó por primera vez a principios de enero con volúmenes bajos y se intensificó significativamente a mediados y finales de enero. Como los objetivos eran hoteles, cadenas hoteleras, complejos turísticos, etc., esto coincide con las personas que reservan sus vacaciones para el próximo año con antelación para estar preparadas.
Hemos identificado varios atributos en las campañas que se han añadido a nuestras capacidades de detección.
Reino Unido, sector de hostelería
URL
admin-booking-service[.]com
adminbokingcapha64578[.]com
booking[.]parner-id-010101743[.]com
commentsvisitor58100[.]world
commentsvisitor589360[.]world
concernguest68549[.]com
concernguest74549[.]com
feedbackguest485100[.]world
feedbackguest485121[.]world
feedbackguest48594821[.]world
feedbackguest84560[.]world
feedbackpage91293[.]world
issueguest423239[.]world
issueguest495139[.]world
parner-id-010101743[.]com
parner-id1501202500[.]com
reportguest4893921[.]world
reportguest4895921[.]world
roomsattendes999923[.]world
roomsvisitor9934224[.]world
T1566.002: Phishing: Enlace de spear phishing
T1585.002: Establecer cuentas: Cuentas de correo electrónico
T1204.002: Ejecución de usuario: Archivo malicioso
T1059.003: Intérprete de comandos y scripts: Shell de comandos de Windows
T1547.001: Ejecución de inicio automático de arranque o inicio de sesión: Claves de ejecución del registro/carpeta de inicio
T1027: Archivos o información ofuscados
T1202: Ejecución indirecta de comandos
T1555: Credenciales de almacenes de contraseñas
T1083: Detección de archivos y directorios
T1518.001: Detección de software: Detección de software de seguridad
T1113: Captura de pantalla
Descubre cómo la plataforma única de Mimecast puede proteger a tu personal, tu inteligencia artificial y tus datos.
Únete a los miles de profesionales de la seguridad que utilizan nuestras alertas seleccionadas, nuestros análisis de expertos y los indicadores de compromiso (IOC) de nuestras campañas para defenderse de las amenazas cibernéticas emergentes.
Threat Intelligence1 sept 2026
Threat Intelligence27 ago 2026
