Descubierta una campaña de phishing que suplantaba la identidad de Samsung, Adobe y Oxford

 

Recomendados:  WEBINAR >> Vídeo colaboración y reuniones virtuales para una comunicación efectiva Registro  WEBINAR >> Automatización Inteligente de Procesos para asegurar la continuidad del negocio Registro

Según explica Check Point, los cibercriminales consiguieron apropiarse del servidor de correo electrónico de la Universidad de Oxford para enviar emails maliciosos a las víctimas. Dichos correos incluían enlaces que redireccionaban a un servidor de Adobe utilizado por Samsung hasta entonces, lo que permitía a los hackers aprovechar el aspecto visual de un dominio legítimo de Samsung para engañar con éxito. En última instancia, los afectados eran conducidos por un engañoso procedimiento para compartir sus credenciales de inicio de sesión en Office 365.

Correlación de los hechos
A principios del mes de abril, los investigadores de Check Point comenzaron a analizar los correos electrónicos enviados a potenciales víctimas con el título "Office 365 Voice Mail". Estos e-mails avisaban que un mensaje de voz estaba pendiente en el buzón de voz de la víctima, lo que llevaba a los usuarios a hacer clic en un botón que supuestamente los llevaría a su cuenta de Office 365. Sin embargo, al hacerlo, eran redirigidas a una página de phishing que se hacía pasar por la web oficial de inicio de sesión de Office 365.

La procedencia de la mayor parte de los correos electrónicos eran direcciones múltiples pertenecientes a subdominios legítimos de diferentes departamentos de la Universidad de Oxford. Los asuntos de los emails muestran que los hackers encontraron una forma de utilizar uno de los servidores SMTP (protocolo de transferencia de correo simple) de Oxford, una aplicación cuyo propósito principal es enviar, recibir y/o tomar el relevo del flujo de correo saliente entre los remitentes y los receptores de los emails. El uso de los servidores SMTP legítimos de Oxford permitió a los cibercriminales burlar el control de verificación de seguridad.

Hacia una URL de confianza de Samsung
Durante el año pasado, las campañas de phishing han utilizado las redirecciones abiertas de Google y Adobe para que las URLs utilizadas en los correos electrónicos de spam generasen mayor confianza. Un redireccionamiento abierto es una URL en un sitio web que cualquiera puede utilizar para dirigir a los usuarios a otra página web diferente. En este caso, el destino final era un servidor de Adobe previamente utilizado por Samsung durante una campaña de marketing de Cyber Monday 2018. En otras palabras, el enlace incrustado en el correo electrónico original de phishing es parte del origen del dominio de confianza de Samsung, el cuál redirige a las víctimas a un sitio web bajo el control de los cibercriminales. Al utilizar el formato de enlace específico de la campaña de Adobe y un dominio legítimo, los atacantes aumentan las posibilidades de que el correo electrónico no tuviera problemas para pasar a través de las medidas de seguridad que analizan la veracidad de los enlaces, las listas negras y los patrones de URL.

Según explica Eusebio Nieva, director técnico de Check Point para España y Portugal, "lo que en un principio parecía ser una clásica campaña de phishing de Office 365, resultó ser una estrategia perfecta: usar marcas conocidas y con buena reputación para burlar las medidas de seguridad que le separan de las víctimas”

Hoy en día, a su juicio, es una técnica de vanguardia para entrar dentro de una red corporativa.

Consejos para protegerse
Éstas son las recomendaciones generales para protegerse de este tipo de ciberataques, según Check Point:

-- Usar contraseñas distintas para las aplicaciones en la nube: al hacerlo, el resto de los activos están protegidos incluso aunque la seguridad de uno de ellos se haya visto comprometida.
-- Utilizar herramientas de seguridad cloud y para el email: que este tipo de campañas proliferen pone de manifiesto la facilidad con la que se puede evitar ser detectado por medidas de seguridad “nativas”. Por este motivo, se aconseja implementar soluciones de seguridad cloud y específicas para el correo electrónico que eliminen aquellas amenazas que tratan de infiltrarse en este servicio y proteger así la infraestructura cloud.
-- No introducir credenciales en momentos en los que no suele hacerse: a menudo, esto puede ser un intento de phishing enmascarado.