El equipo de investigación de amenazas de Mimecast ha observado que los autores de las amenazas utilizan SharePoint y Google Drive para compartir archivos que contienen enlaces a sitios maliciosos. El señuelo suele ser una invitación a una licitación, con el objetivo de obtener credenciales a través de un kit de phishing alojado.
A continuación se muestra un ejemplo de esta campaña, en la que se utiliza una cuenta de O365 comprometida. En la mayoría de los casos, se utilizan dominios de sectores específicos relacionados con el objetivo, lo que aumenta la probabilidad de que el usuario final interactúe con el correo electrónico.
El correo electrónico contiene un enlace «Haga clic aquí para ver el proyecto» que se utiliza para obtener más información sobre la licitación. Al hacer clic en el enlace, los usuarios son redirigidos a una página de carpeta de SharePoint que contiene un archivo, lo cual es inusual, ya que normalmente son los propios «archivos» los que hacen que esto sea único.
El motivo de esta capa adicional de ofuscación es eludir las soluciones de seguridad. Además, el señuelo puede parecer más legítimo al contener varios archivos en la carpeta, o bien ayuda al autor de la amenaza a gestionar campañas en las que puede utilizar carpetas sin compartir un archivo directamente.
En este ejemplo de campaña, se ha creado una carpeta en la página de SharePoint vinculada a una empresa real, y el supuesto propietario del archivo está asociado a la misma organización. Una vez dentro de la carpeta, el usuario debe interactuar con la página para acceder al archivo.
Al hacer clic en el archivo, aparece un PDF borroso que insta al usuario a acceder a un enlace para iniciar sesión en su cuenta de Microsoft y poder acceder al archivo.
Las páginas de phishing tienen una estructura de URL similar: hxxps://[NOMBRE].[store/online/site]/?[8 caracteres], algo que se ha observado en páginas de phishing adquiridas en «NakedPages». En algunas de las campañas se añaden páginas con captcha para aumentar el número de interacciones del usuario necesarias para llegar a la página final de phishing —a veces hasta 7—. Esta se ha convertido en una técnica muy habitual utilizada por los actores maliciosos para eludir la detección.
Este tipo de técnica no se limita únicamente a los servicios de Microsoft; he aquí un ejemplo en el que se utiliza Google Drive, con un diseño muy similar y una página final de recopilación de credenciales:
Al investigar el ejemplo de Google Drive, apareció una página de error que ofrece algo más de detalle sobre la campaña, en la que se observa un fallo de licencia, presumiblemente procedente de «NakedPages».
La información adicional de la página hace referencia a nkp.relay-proxy-i2p.com. I2P es una capa de red centrada en la privacidad para la comunicación anónima. Esto sugiere que la página de phishing intentaba conectarse a un relé o proxy de I2P, probablemente para exfiltrar datos o comunicarse de forma anónima.
Una investigación más exhaustiva revela que nkp.relay-proxy-i2p.com solo ha estado activo recientemente y que su dominio apunta a FlokiNET. FlokiNET es un proveedor de alojamiento web conocido por ofrecer servicios con un fuerte énfasis en la privacidad y la libertad de expresión, utilizado a menudo por activistas y periodistas, pero los actores maliciosos también sacan buen partido de estos servicios. Mimecast ha observado un cambio reciente en el alojamiento que indica que los actores maliciosos están rotando más su infraestructura para evitar la detección y los esfuerzos de desactivación.
Los servidores de nombres de nkp.relay-proxy-i2p.com son de Njalla, lo que supone otro dato interesante. Njalla es un servicio de registro de dominios que hace hincapié en la privacidad y el anonimato, protegiendo la identidad de los propietarios de los dominios. Lo hace actuando como intermediario entre el registrador y el propietario del dominio, registrando el dominio en su nombre y manteniendo oculta la información personal.
A nivel mundial, todos los sectores
Sitios web dedicados a la recopilación de credenciales
Asuntos de los correos (existen múltiples variaciones)
Descubre cómo la plataforma única de Mimecast puede proteger a tu personal, tu inteligencia artificial y tus datos.
Únete a los miles de profesionales de la seguridad que utilizan nuestras alertas seleccionadas, nuestros análisis de expertos y los indicadores de compromiso (IOC) de nuestras campañas para defenderse de las amenazas cibernéticas emergentes.
Threat Intelligence1 sept 2026
Threat Intelligence27 ago 2026
