- Los autores de amenazas aprovechan los servicios de intercambio de archivos de SharePoint para obtener credenciales
- Cadena de ataque en varias fases que utiliza cuentas comprometidas y técnicas sofisticadas de evasión
- Las campañas requieren una interacción mediante Ctrl+clic para eludir los análisis de seguridad automatizados
- Verificación CAPTCHA falsa de Cloudflare previa al robo de credenciales de Microsoft 365
- Carga útil final alojada en la infraestructura de workers.dev
Threat intelligence
Uso indebido del sistema de intercambio de archivos de SharePoint mediante la elusión del CAPTCHA
Puntos clave
Resumen de la campaña
El equipo de investigación de amenazas de Mimecast ha identificado una campaña activa de recopilación de credenciales que se aprovecha de la función para compartir archivos de Microsoft SharePoint con el fin de llevar a cabo ataques de phishing. El ataque comienza con correos electrónicos procedentes de cuentas de Microsoft 365 que han sido comprometidas, lo que confiere una credibilidad inmediata a los mensajes maliciosos. Los destinatarios reciben lo que parecen ser notificaciones legítimas de SharePoint sobre el intercambio de documentos, a menudo procedentes de contactos conocidos de su organización o de su red empresarial. Este enfoque de ingeniería social aumenta considerablemente la probabilidad de que los usuarios interactúen.
Lo que distingue a esta campaña es la implementación de una novedosa técnica de evasión que obliga a los usuarios a mantener pulsada la tecla Ctrl mientras hacen clic en el botón « "» (VER DOCUMENTO)". Esta instrucción, aparentemente inofensiva, impide que las herramientas de seguridad automatizadas sigan la cadena de ataque. El requisito aparece como « "». POR FAVOR, MANTENGA PULSADA LA TECLA CTRL DE SU TECLADO Y HAGA CLIC EN «VER DOCUMENTO» PARA ACCEDER,", imitando las funciones de seguridad habituales de los navegadores. Tras la interacción inicial con SharePoint, se redirige a los usuarios a través de una secuencia de ataque cuidadosamente orquestada. En la siguiente fase aparece una página falsa de verificación CAPTCHA de Cloudflare en la que se muestra ". Un paso más antes de continuar..." con la casilla « "» (Verifique que es usted humano)".
Esta técnica imita los sofisticados métodos de phishing basados en CAPTCHA descritos en estudios anteriores sobre amenazas, en los que los atacantes se aprovechan de la familiaridad de los usuarios con los procesos de verificación legítimos para mantener su credibilidad. La etapa final redirige a los usuarios a una página de suplantación de credenciales de Microsoft 365 muy convincente, alojada en la infraestructura de Cloudflare Workers mediante el dominio workers.dev.
