Campaña de recopilación de credenciales de OneDrive de la universidad

Resumen de la campaña

El equipo de investigación de amenazas de Mimecast ha identificado una operación de recopilación de credenciales dirigida al personal y al cuerpo docente de universidades y facultades de ciencias de la salud de Australia y Estados Unidos. La campaña utiliza un modelo de prestación de servicios de confianza: los mensajes proceden de una notificación de uso compartido de archivos de OneDrive con el nombre para mostrar «Jesse Lee», mientras que el verdadero remitente SMTP es una cuenta individual de Outlook (outlook_024EE0F96AD209F4@outlook.com).

Cada oleada utiliza un documento señuelo específico para cada institución, alojado en el mismo inquilino personal de OneDrive controlado por los atacantes (024ee0f96ad209f4). Los documentos llevan la imagen de marca de la institución objetivo e indican a los destinatarios que abran un enlace presentado como un documento seguro de SharePoint. Al seleccionar el enlace, las víctimas son redirigidas a través de la infraestructura de redireccionamiento del atacante antes de que se les muestre una página de inicio de sesión de Microsoft de alta fidelidad en un dominio ajeno a Microsoft.

El volumen sigue siendo relativamente bajo, lo que concuerda con una operación dirigida o semidirigida, más que con spam masivo. Sin embargo, la campaña abarca varias instituciones, reutiliza un único remitente y una misma cuenta de OneDrive, y muestra indicios de inyección de metadatos de listas en el texto de las notificaciones.

Flujo de la campaña

Etapa 1: Correo electrónico de notificación de uso compartido de OneDrive

Los destinatarios reciben un mensaje que coincide con la plantilla estándar de Microsoft para compartir archivos en OneDrive. El asunto sigue el patrón «Jesse Lee ha compartido "" contigo». El cuerpo del mensaje hace referencia a un documento de Word cuyo nombre corresponde a la institución objetivo.

El cuerpo de la notificación incluye una línea descriptiva secundaria (por ejemplo, «MSPAS, PA-C, director del programa, te ha enviado un archivo») que parece personalizada para el grupo del destinatario.

 

                                                   [Figura 1: Notificación de uso compartido de OneDrive]

Fase 2: Documento de OneDrive con la imagen corporativa de la institución

Al hacer clic en el enlace para compartir, se abre un documento de Word en onedrive.live.com, en la cuenta personal del atacante. El documento reproduce el logotipo de la institución objetivo e indica que la organización ha compartido un documento protegido a través de Microsoft SharePoint. Un hipervínculo destacado que dice «ABRIR DOCUMENTO» incorpora la cadena de redireccionamiento destinada a la recopilación de credenciales.

  [Figura 2: Documento señuelo con la imagen de marca de la institución alojado en la cuenta de OneDrive del atacante 024ee0f96ad209f4]

Etapa 3: Redirección a través de zmact[.]us

El enlace incrustado apunta a zmact[.]us con parámetros de consulta que incluyen tenantKey=WG0SL5 y una returnUrl falsificada que hace referencia a /connect/authorize/callback con client_id=Portal. El redireccionador devuelve un código de estado HTTP 302 al host de phishing final. 

Etapa 4: Desafío de Cloudflare en loq[.]broadpath[.]us

Las víctimas son redirigidas a loq.broadpath[.]us, donde se les presenta un desafío gestionado por Cloudflare («Realizando verificación de seguridad»). Esta capa filtra los escáneres automatizados y los entornos de pruebas antes de que se muestre la página de credenciales.

[Figura 3: Página de verificación de Cloudflare en loq.broadpath.us]

Etapa 5: Inicio de sesión falso en Microsoft 365

Tras superar el desafío, las víctimas acceden a una página de autorización al estilo OAuth de Microsoft alojada en loq.broadpath[.]us en la ruta /common/oauth2/v2.0/authorize. La página imita el inicio de sesión de Entra ID con parámetros coherentes con los kits de captura de credenciales y tokens al estilo AiTM.

 

                                [Figura 4: Página de recopilación de credenciales en un dominio ajeno a Microsoft]

Volumen y periodicidad

Mimecast observó actividad durante un periodo de cinco días (del 20 al 24 de junio de 2026), concentrándose los envíos en tres días:

Todas las oleadas observadas proceden de la misma dirección de remitente. Cada institución es objeto de un documento señuelo distinto en la cuenta compartida de OneDrive, enviado en ráfagas breves (minutos por oleada) en lugar de spam sostenido de gran volumen.

Metadatos de notificación personalizados

Aunque el SMTP procede de una única cuenta de Outlook, el texto visible de la notificación de uso compartido varía. Las líneas descriptivas secundarias (por ejemplo, los cargos de los directores de programa) parecen adaptadas al grupo de destinatarios, en consonancia con los metadatos extraídos de los directorios e inyectados en la plantilla de notificación de OneDrive.

Análisis técnico

Reutilización de la cuenta de OneDrive

Todos los documentos señuelo comparten el mismo identificador personal de OneDrive 024ee0f96ad209f4, que coincide con la cadena hexadecimal incrustada en la dirección del remitente.

Indicadores del kit de phishing

• Parámetro de redireccionamiento tenantKey=WG0SL5 en zmact[.]us
• URL de retorno (returnUrl) de tipo OAuth falsificada para que se asemeje a la de la llamada de retorno del portal de Entra ID (client_id=Portal, response_type=id_token, scope=openid)
• El servidor final aloja /common/oauth2/v2.0/authorize en la infraestructura del atacante
• Desafío gestionado por Cloudflare en el redireccionador

Protección de Mimecast

Mimecast ha identificado atributos asociados a esta campaña en el abuso de servicios de confianza, la infraestructura del redireccionador y el phishing de rutas OAuth en dominios ajenos a Microsoft. El equipo de investigación de amenazas sigue vigilando la aparición de nuevos documentos de señuelo, instituciones e infraestructura rotativa en los clústeres zmact[.]us y broadpath[.]us.

Objetivos:

Indicadores de compromiso (IOC)

 

Recomendaciones

Formación en concienciación de los usuarios

• Informe a los empleados de que deben considerar como no fiables las notificaciones de uso compartido de OneDrive no solicitadas hasta que se haya verificado la dirección real del remitente
• Haga hincapié en que los enlaces legítimos para compartir documentos de la universidad proceden de dominios de la organización, no de cuentas de @outlook.com de particulares
• Indique a los usuarios que comprueben la barra de direcciones del navegador tras hacer clic en enlaces a documentos; el inicio de sesión de Microsoft debe realizarse en login.microsoftonline.com
• Alertar al personal de la educación superior de los ámbitos de selección de personal, investigación de posgrado, administración de enfermería, deportes y ciencias de la salud como grupos prioritarios

Búsqueda proactiva de amenazas

• Busca en los registros de correo los mensajes procedentes de outlook_024EE0F96AD209F4@outlook[.]com o con asuntos que coincidan con «Jesse Lee shared»
• Busque en los registros de proxy web y DNS las entradas «zmact[.]us», «broadpath[.]us» y las rutas OAuth en servidores que no sean de Microsoft
• Revisar los registros de inicio de sesión de Entra ID en busca de autenticaciones anómalas relacionadas con loq[.]broadpath[.]us o intentos fallidos de GetCredentialType procedentes de direcciones IP ajenas al campus

Conclusión

Esta campaña ilustra cómo los operadores especializados en la recopilación de credenciales combinan servicios fiables de intercambio de archivos en la nube, señuelos con la marca de la institución y listas de objetivos específicas de cada programa para comprometer buzones de correo universitarios en pequeñas cantidades. Los equipos de seguridad de la educación superior deben considerar las notificaciones de uso compartido en la nube de consumo como un vector de alto riesgo y dar prioridad a la detección tanto en la fase del correo electrónico como en la de redireccionamiento tras el clic.