Los ciberdelincuentes están aprovechando activamente la función «Direct Send» de Microsoft 365 para enviar correos electrónicos de phishing
Esta técnica elude eficazmente las soluciones de seguridad perimetral al redirigir los correos electrónicos maliciosos a través de la infraestructura de confianza de Microsoft 365.
No requiere credenciales ni tokens, solo conocer el dominio de destino y las direcciones válidas de los destinatarios
Esto supone una brecha crítica en las defensas de seguridad del correo electrónico, ya que permite eludir los filtros de seguridad externos que analizan el correo entrante procedente de fuentes externas
Descripción general
El equipo de investigación de amenazas de Mimecast sigue detectando campañas de correo electrónico malicioso que se aprovechan de la función «Direct Send» de Microsoft 365. Este vector de ataque permite a los autores de amenazas enviar correos electrónicos que parecen proceder de usuarios internos sin necesidad de autenticación ni de haber comprometido ninguna cuenta. Esta técnica ha ido ganando terreno, ya que elude eficazmente las soluciones de seguridad perimetral y se aprovecha la confianza inherente que los usuarios depositan en las comunicaciones internas. Esta amenaza emergente supone una brecha crítica en las defensas de seguridad del correo electrónico de las organizaciones que utilizan Microsoft 365.
Metodología de ataque
«Direct Send» es una función legítima de Microsoft 365 diseñada para permitir que los dispositivos, las aplicaciones y los servicios de terceros envíen correos electrónicos directamente a los buzones de los usuarios sin necesidad de autenticación. Los atacantes se aprovechan de esta funcionalidad conectándose al punto final SMTP de Microsoft 365 y enviando correos electrónicos que suplantan la identidad de remitentes internos. El proceso del ataque consta de tres pasos clave:
Los atacantes identifican dominios válidos de las organizaciones y direcciones de correo electrónico de los destinatarios mediante actividades de reconocimiento.
Los correos electrónicos se redactan de tal forma que simulan proceder de usuarios o departamentos internos de confianza, imitando a menudo comunicaciones empresariales habituales, como notificaciones del departamento de TI o anuncios de RR. HH.
Estos correos electrónicos falsos se envían directamente a través de la infraestructura de Microsoft 365, donde aparecen como mensajes enrutados internamente.
A diferencia de la suplantación de identidad tradicional en el correo electrónico, el uso indebido de «Direct Send» no requiere credenciales de autenticación, nombre de usuario, contraseña ni token. Los atacantes solo necesitan conocer el dominio de la organización objetivo y las direcciones de destinatarios válidas. Esta técnica resulta especialmente eficaz porque los correos electrónicos pasan por la infraestructura de confianza de Microsoft 365, lo que hace que parezcan legítimos tanto para los sistemas de seguridad como para los usuarios finales. La ausencia de requisitos de autenticación implica que los atacantes pueden suplantar la identidad de cualquier usuario interno sin necesidad de acceder a cuentas legítimas.
Comparte esto
Información sobre la campaña
Las organizaciones se enfrentan a un riesgo considerable de robo de credenciales, business email compromise y distribución de malware a través de este vector de ataque. La confianza implícita asociada a las comunicaciones internas aumenta la probabilidad de que los usuarios interactúen con éxito con contenidos maliciosos.
Las campañas recientes han demostrado la eficacia de esta técnica, ya que los autores de las amenazas han logrado obtener credenciales y establecer puntos de acceso para el movimiento lateral dentro de los entornos atacados. El uso indebido de Direct Send ha tenido un éxito especial entre las organizaciones que dependen en gran medida de las comunicaciones por correo electrónico para sus operaciones comerciales.
Aunque los correos electrónicos de abuso enviados directamente no pasan por Mimecast, las campañas observadas recientemente contienen archivos adjuntos en formato PDF y DOCX con códigos QR, o archivos adjuntos HTML muy ofuscados, todos ellos dirigidos a páginas de phishing destinadas a la recopilación de credenciales.
El análisis de los archivos PDF y DOC adjuntos revela que los autores de la amenaza están utilizando herramientas automatizadas para generar señuelos convincentes con temática empresarial, como parte de una campaña de phishing que aprovecha la función «Direct Send» de Microsoft. Los archivos PDF adjuntos se crearon principalmente con wkhtmltopdf 0.12.6 (Qt 4.8.7), una herramienta que se utiliza habitualmente para convertir plantillas HTML en archivos PDF a gran escala, mientras que los archivos DOCX se generaron con Microsoft Office Word 2007, una versión antigua que admite funciones de las que a menudo se abusa en el phishing, como las solicitudes de recuperación de archivos y la compatibilidad con macros. El uso sistemático de estas herramientas, junto con la rápida creación, en el mismo día, de múltiples documentos temáticos, pone de manifiesto un enfoque coordinado y basado en plantillas, diseñado para maximizar la distribución y eludir los controles de seguridad tradicionales.
Análisis de HTML
Un ejemplo interesante de un archivo adjunto en formato HTML muestra un alto grado de ofuscación mediante el uso de homógrafos. A primera vista, el código utiliza una única variable de forma repetida, pero define y manipula más de un centenar de variables, cada una de las cuales lleva un nombre compuesto por tres caracteres UTF-8 (Unicode) visualmente similares. Esta técnica, conocida como «Unicode» u «ofuscación por homógrafos», dificulta enormemente el análisis manual y puede burlar muchas herramientas de detección automatizadas. El script evita cualquier cadena legible o asignación directa. En su lugar, utiliza una serie de peculiaridades de JavaScript y trucos de coerción de tipos —como !1+[] (que da como resultado la cadena « "» false"), []+{} (que produce « " » [object Object]") y "foo"& " bar" (que siempre se evalúa como 0)— para generar números enteros y cadenas básicos. A continuación, estos números enteros se utilizan como índices de matriz o para generar códigos ASCII, que se ensamblan dinámicamente en la carga útil final mediante funciones como String.fromCharCode. El código utiliza document.write() para mostrar el contenido malicioso, lo que lleva al usuario a una página de phishing. Todo ello se lleva a cabo sin que haya ninguna cadena de texto útil en el código estático, lo que dificulta enormemente el análisis estático y la detección basada en firmas.
Se ha observado que otros archivos adjuntos en formato HTML utilizan, en su mayoría, una variante de caracteres UTF-8 para ocultar el contenido del archivo de forma muy elaborada.
Nuevo manual del empleado y novedades organizativas
Reconocimiento de sus contribuciones laborales: actualización sobre la remuneración
Revalidación obligatoria de las credenciales de acceso
Confirmación: bonificación de fin de año de 2025 añadida a su nómina
Acción requerida: Evaluación de los empleados de [nombre de la empresa]
Active la opción «Rechazar envío directo»: si su organización no necesita el envío directo, desactívelo. En el Centro de administración de Exchange, active la opción «Rechazar envío directo». De este modo se evitará el uso no autorizado de la función «Envío directo», al rechazar los correos electrónicos que intenten utilizar este método sin la autenticación adecuada.
Si la organización utiliza Direct Send, siga estos pasos de filtrado y configuración para garantizar que solo se reciba correo autorizado.
Evaluación medioambiental
Antes de activar esta función, las organizaciones deben revisar su entorno para detectar dispositivos o aplicaciones que utilicen el protocolo SMTP sin autenticación para funciones empresariales legítimas. Es posible que los sistemas heredados, las impresoras, los escáneres y las aplicaciones específicas de cada área de negocio requieran actualizaciones de configuración para poder utilizar métodos de envío autenticados.
Mantén tu ventaja en materia de inteligencia sobre amenazas
Únete a los miles de profesionales de la seguridad que utilizan nuestras alertas seleccionadas, nuestros análisis de expertos y los indicadores de compromiso (IOC) de nuestras campañas para defenderse de las amenazas cibernéticas emergentes.
Abuso de la función «Envío directo» de Microsoft 365: riesgos de phishing y recomendaciones de seguridad de & | Mimecast
