Uso indebido de OAuth

5 de mayo de 2025

El equipo de investigación de amenazas de Mimecast sigue detectando correos electrónicos que contienen direcciones URL que manipulan los parámetros de OAuth de Microsoft para redirigir a los usuarios a páginas maliciosas. La campaña ha generado aproximadamente 4.500 casos detectados en un periodo de dos semanas, dirigidos principalmente a empresas del sector inmobiliario y de servicios profesionales en EE. UU. Este enfoque metódico parece centrarse en la posible recopilación de información empresarial, así como en la obtención de credenciales, al tiempo que mantiene una apariencia engañosamente legítima. La técnica aprovecha la manipulación de las URL para explotar la implementación de OAuth de Microsoft. Al utilizar dominios legítimos de Microsoft a lo largo de toda la cadena de ataque, los autores de las amenazas han creado un enfoque de ingeniería social muy convincente que podría eludir los controles de seguridad tradicionales.

En estas campañas, a los objetivos se les presentan inicialmente señuelos que contienen URL que aprovechan dominios de autenticación legítimos de Microsoft. Tras hacer clic en el enlace y completar el proceso de autenticación estándar, se muestra a los usuarios una solicitud de permiso aparentemente inofensiva que permite la recopilación de datos básicos. Aunque informes de código abierto han señalado anteriormente que algunas aplicaciones maliciosas solicitan un acceso más amplio a las cuentas de los usuarios, nuestra investigación ha observado hasta ahora que esta técnica se utiliza principalmente para solicitar información básica del usuario, como direcciones de correo electrónico, cargos laborales y fotos de perfil. Las campañas más recientes han ocultado aún más el ataque al incrustar las URL de redirección dentro de parámetros codificados, lo que dificulta considerablemente su detección tanto por parte de los usuarios como de las soluciones de seguridad.

De esta actividad se pueden extraer dos conclusiones clave: en primer lugar, los autores de las amenazas podrían estar recopilando datos básicos de los usuarios —como nombres completos, cargos y fotos de perfil— para validar cuentas de correo electrónico con el fin de utilizarlas en ataques posteriores. Por otra parte, solicitar únicamente permisos básicos podría ser una táctica para no levantar sospechas, con el objetivo final de redirigir a los usuarios a páginas destinadas a la recopilación de credenciales. Independientemente de si el usuario acepta o rechaza la solicitud de permisos, sigue siendo redirigido a la URL especificada por la aplicación maliciosa.

Análisis técnico

Por lo general, la estructura de las URL que hemos observado en estas campañas sigue el patrón que se muestra a continuación.

https://login.microsoftonline.com/common/reprocess?ctx=rQQIARAA02I20jOwUjE3MTFJM0ky1TU0TEvSNTFONNK1SDJK1jUzMjSxMAUCC4PkIiEugcTgtV7WT-pcZpwUj7mt7ye_ilEpo6SkoNhKX78gJzEvsbQkIzknMzWvRC8lVT8lozgjJTXVZAcj4wVGxlVMbMYGBibGBreY-P0dgQqNQER-UWZV6icmjrSixPRcoL5ZzBwWRpbmRpZGhpuY2ZLzc3Pz83YxqxgYGBomJRlZ6poamBvpGlgkm-omJqda6KYam1kmG5mZmxkZmZ1iFskvSM3LTFFIzU3MzFEoKMpPy8xJvcHMeIGF8RULjwGrFQcHlwC_BLsCww8WxkWsQP8kKS969XB5t8PUG------

/common : hace referencia al punto final compartido del inquilino (/common/) en el sistema de inicio de sesión de Microsoft, lo que significa que la solicitud no está vinculada a una organización específica; cualquier usuario (particular o corporativo) podría ser el destinatario

. /reprocess - Normalmente, Microsoft utilizaría /reprocess para reintentar o reanudar un inicio de sesión fallido o un flujo

de autenticación interrumpido . CTX : se trata de un objeto de contexto que contiene información como la sesión, el inquilino, la URL de redirección y el estado de autenticación que Microsoft necesita durante las transacciones OAuth. Esta codificación la genera Microsoft, normalmente, cuando se interrumpe o falla una sesión de inicio de sesión.

Generación de la URL

• El actor malicioso registra una aplicación en Azure AD y especifica un enlace de redireccionamiento malicioso para utilizarlo en su campaña.
• Genera una URL de OAuth, que incluye el enlace de redirección y parámetros como response_type, para activar una solicitud de consentimiento que pida acceso a la cuenta del usuario al hacer clic en ella. Nota: se pueden utilizar otras opciones de response_type que no muestran páginas de consentimiento y redirigen silenciosamente al usuario a la página maliciosa.
• Mediante esta URL, intentan iniciar sesión ellos mismos e interrumpen o manipulan la sesión para generar una cadena «ctx», que incluye la URL de redireccionamiento codificada y los detalles de la sesión generados por Microsoft.
• A continuación, crean una URL de phishing definitiva, insertando el «ctx» capturado en un punto final /common/reprocess, lo que iniciará un flujo de inicio de sesión para cualquier usuario de cualquier inquilino. Hemos observado que el «ctx» generado tiende a utilizarse en numerosos objetivos.

Protección de Mimecast

Hemos identificado varios atributos en las campañas recientes que se han incorporado a nuestras capacidades de detección. Seguimos vigilando los cambios en las técnicas utilizadas con los enlaces OAuth.

Objetivos:

Predominantemente EE. UU., sector inmobiliario, servicios profesionales

Recomendaciones

• Evaluar los requisitos de las aplicaciones externas
  • Llevar a cabo revisiones exhaustivas de los consentimientos de aplicaciones de terceros existentes en toda la organización
  • Se debe habilitar el registro mejorado de las solicitudes OAuth para facilitar la detección temprana de actividades sospechosas.
• Formación en concienciación sobre seguridad para los usuarios
  • Los usuarios deben examinar minuciosamente las solicitudes de inicio de sesión de Microsoft que incluyan permisos de acceso.
  • Realizar simulacros periódicos de phishing que incluyan escenarios relacionados con los permisos de Microsoft
• Búsqueda proactiva de amenazas
  • Busque en los registros de URL Protect utilizando filtros específicos para el parámetro «reprocess?ctx=», ya que este constituye un indicador clave de compromiso.