Kit de phishing de autenticación de dos factores (2FA): una amenaza peligrosa para la seguridad en línea

La autenticación de dos factores (2FA) ha sido durante mucho tiempo una medida de seguridad confiable para proteger las cuentas de los usuarios. Sin embargo, ha surgido una sofisticada herramienta de phishing llamada Sneaky 2FA, que ataca las cuentas protegidas mediante 2FA aprovechando la confianza en las medidas de seguridad. Identificado por primera vez a fines de 2024, este kit muestra la evolución de los ataques de phishing y destaca la necesidad de contar con prácticas sólidas de seguridad en línea.

¿Qué es el kit de phishing Sneaky 2FA?

Sneaky 2FA es una herramienta avanzada de phishing como servicio (PhaaS) diseñada para robar credenciales y códigos de 2FA, principalmente dirigidos a cuentas de Microsoft 365. Desarrollado y vendido a través de un servicio basado en Telegram llamado "Sneaky Log", el kit permite a los cibercriminales llevar a cabo campañas de phishing con un mínimo esfuerzo técnico. Por $200 al mes, los clientes reciben acceso a una versión ofuscada y con licencia del código fuente, que implementan de forma independiente.

Esta herramienta de phishing ha ganado popularidad entre los cibercriminales, y los investigadores han identificado casi 100 dominios que albergan páginas de phishing de autenticación de dos factores (2FA) engañosas. Las características como la entrada automática de direcciones de correo electrónico en las páginas de phishing mejoran su funcionalidad, haciendo que las solicitudes de inicio de sesión falsas parezcan más legítimas.

El propósito detrás de la autenticación de dos factores (2FA) furtiva

El objetivo principal de Sneaky 2FA es recopilar credenciales de inicio de sesión y códigos de 2FA. Armados con esta información, los atacantes pueden eludir las medidas de seguridad de las cuentas, lo que podría permitirles obtener acceso no autorizado a datos confidenciales o usar las cuentas comprometidas para ejecutar otros ataques, como el ataque de correo electrónico empresarial (BEC).

Para atraer a las víctimas, los atacantes suelen enviar correos electrónicos con recibos de pago falsos, incitando a los destinatarios a abrir archivos PDF maliciosos que contienen códigos QR. Al escanear estos códigos, los usuarios son redirigidos a páginas de phishing que imitan las pantallas de autenticación legítimas de Microsoft.

Un conjunto de herramientas engañosas y resilientes

Lo que distingue a Sneaky 2FA es su sofisticado diseño. Las páginas de phishing están alojadas en sitios web de WordPress comprometidos u otros dominios controlados por los atacantes, lo que garantiza una amplia disponibilidad. Para evadir la detección, el kit emplea varias técnicas, entre ellas:

• Filtrado de tráfico: garantiza que solo los usuarios específicos lleguen a las páginas que roban credenciales.
• Desafíos de Cloudflare Turnstile: ayuda a bloquear bots y herramientas automatizadas.
• Funciones antianálisis: resiste el escrutinio de las herramientas de desarrollo del navegador.

Además, el kit redirige a los usuarios identificados como bots, proxies o usuarios de VPN a páginas legítimas de Wikipedia relacionadas con Microsoft, enmascarando aún más sus actividades.

Enlaces a otras herramientas de phishing

Los investigadores han descubierto similitudes entre Sneaky 2FA y otros kits de phishing, como W3LL Panel, una herramienta asociada con los ataques de vulneración de correo electrónico empresarial. Parte del código de Sneaky 2FA parece derivar de herramientas anteriores, aunque sus desarrolladores han añadido características únicas.

Curiosamente, los dominios asociados con kits de phishing más antiguos, como Evilginx2 y Greatness, se han reutilizado para Sneaky 2FA, lo que sugiere que algunos ciberdelincuentes han pasado a este servicio más nuevo.

Implicaciones de una autenticación de dos factores engañosa

La aparición de Sneaky 2FA subraya la adaptabilidad de los ataques de phishing y su impacto potencial. Al apuntar a cuentas protegidas con 2FA, esta herramienta socava una de las capas de seguridad más confiables. Las cuentas comprometidas podrían provocar violaciones de datos, transacciones no autorizadas y daños a la reputación de las organizaciones y personas afectadas.

Además, la disponibilidad de dichas herramientas a través de los modelos PhaaS reduce la barrera de entrada para los ciberdelincuentes, permitiendo incluso a aquellos con conocimientos técnicos limitados lanzar ataques sofisticados.

Cómo funciona la autenticación de dos factores (2FA)

Un aspecto destacable de Sneaky 2FA es su dependencia de un servidor central para verificar el estado de la licencia de sus clientes. Este modelo de licencia garantiza que solo los suscriptores que pagan puedan acceder y utilizar el kit. Las propias páginas de phishing utilizan imágenes borrosas de interfaces legítimas de Microsoft, engañando a los usuarios para que piensen que son pantallas de inicio de sesión auténticas.

La herramienta también incorpora cadenas de agente de usuario codificadas de forma rígida que cambian durante las distintas etapas del proceso de autenticación. Estas cadenas imitan ciertos comportamientos legítimos, pero se desvían lo suficiente como para ayudar a los investigadores de seguridad a detectarlos.

Mantenerse alerta ante los ataques de phishing

Si bien la autenticación de dos factores (2FA) furtiva representa una amenaza avanzada, su éxito depende de engañar a los usuarios. Reconocer las señales de las campañas de phishing es fundamental:

• Tenga cuidado con los correos electrónicos no solicitados, especialmente aquellos con asuntos o archivos adjuntos relacionados con pagos.
• Evite escanear códigos QR de fuentes desconocidas.
• Verifique las URL antes de ingresar las credenciales de inicio de sesión, asegurándose de que pertenezcan a sitios web legítimos.

Las organizaciones también deben educar a los empleados sobre las tácticas de phishing e implementar medidas de seguridad adicionales, como claves de seguridad de hardware, para fortalecer la 2FA.

En resumen

El auge de herramientas como Sneaky 2FA pone de relieve la necesidad constante de estar alerta en el panorama digital. Al comprender cómo funcionan estos kits de phishing y adoptar prácticas de seguridad proactivas, las personas y las organizaciones pueden protegerse mejor contra las amenazas en constante evolución. Si bien la 2FA sigue siendo una medida de seguridad vital, es esencial mantenerse informado y adaptarse a los nuevos desafíos en la lucha contra el cibercrimen.