Kaspersky revela nueva técnica usada para obtener acceso no autorizado

El ataque, atribuido al grupo APT ToddyCat, aprovecha sesiones activas en navegadores basados en Chromium para solicitar permisos sobre correos, almacenamiento en la nube y contactos empresariales.

Expertos de Kaspersky identificaron una nueva técnica utilizada por el grupo APT ToddyCat para intentar acceder a cuentas corporativas de Gmail sin necesidad de robar directamente la contraseña del usuario. En lugar de eso, los atacantes aprovechan sesiones de Gmail que permanecen abiertas en el navegador para solicitar permisos sobre recursos de Google, como correos electrónicos, archivos almacenados en la nube y contactos empresariales.

El hallazgo forma parte de las investigaciones proactivas de Kaspersky sobre amenazas avanzadas. En esta campaña, los atacantes apuntaron a comunicaciones corporativas alojadas en Gmail, con el objetivo de obtener acceso no autorizado a cuentas de correo mediante la API del servicio. Aunque el malware identificado fue diseñado para afectar a usuarios de Windows, la técnica podría adaptarse potencialmente a otros sistemas.

La técnica fue denominada Shadow Token via Remote Debug, o STRD, y afecta a navegadores basados en Chromium. En términos simples, el ataque funciona porque muchos usuarios dejan su sesión de Gmail abierta en el navegador. Cuando esto ocurre, el navegador conserva una especie de “llave digital” que permite seguir usando la cuenta sin volver a escribir la contraseña. ToddyCat aprovecha esa condición para intentar tomar control de esa sesión y solicitar acceso a información sensible.

Para ejecutar el ataque, el grupo utilizó un malware llamado Umbrij, capaz de abrir una conexión oculta a través de una función del navegador que normalmente usan los desarrolladores para hacer pruebas. Al hacerlo, los atacantes pueden enviar solicitudes a Gmail como si provinieran de una sesión ya autenticada del usuario.

Una vez dentro de ese flujo, el malware puede solicitar permisos amplios sobre la cuenta de la víctima, incluido acceso al correo electrónico, almacenamiento en la nube y contactos. Además, puede aprobar automáticamente la ventana de consentimiento al hacer clic en “Permitir”, obteniendo así el código necesario para acceder a esos recursos.

“Este hallazgo evidencia un cambio importante en la forma en que los atacantes buscan comprometer cuentas corporativas. Ya no se trata únicamente de robar contraseñas o engañar al usuario para que entregue sus credenciales, sino de aprovechar sesiones que ya están abiertas y mecanismos legítimos del navegador para obtener acceso a información sensible. Esto representa un problema para las empresas porque el correo corporativo concentra conversaciones estratégicas, documentos, contactos y accesos a otros servicios internos. Cuando una cuenta de Gmail empresarial es comprometida, el impacto puede ir mucho más allá del buzón: puede convertirse en una puerta de entrada para espionaje, robo de información y nuevos ataques dentro de la organización. Por eso, las compañías deben revisar qué funciones realmente necesitan sus usuarios, limitar aquellas que no son esenciales y fortalecer la visibilidad sobre comportamientos inusuales en sus entornos digitales”, afirma Leandro Cuozzo, Investigador de seguridad para América Latina en el equipo GReAT de Kaspersky.

Para las empresas, el riesgo de esta nueva técnica es especialmente relevante porque el correo electrónico sigue siendo uno de los principales canales de comunicación interna y externa, y una cuenta comprometida puede exponer conversaciones sensibles, documentos, contactos y otros recursos corporativos.

Anteriormente, investigadores de Kaspersky habían detallado campañas de ToddyCat orientadas al robo de datos desde navegadores web, así como desde servicios de correo electrónico locales y basados en la nube.

Para que las empresas puedan estar protegidas, los expertos de Kaspersky recomiendan:

• Cerrar sesiones que no estén en uso. Evitar dejar cuentas corporativas abiertas de forma permanente en navegadores, especialmente en dispositivos compartidos o de uso frecuente. Cerrar sesión y revisar periódicamente los accesos activos ayuda a reducir el riesgo de que una sesión autenticada sea aprovechada por terceros.
• Limitar funciones innecesarias del navegador. Las empresas deben revisar qué usuarios realmente necesitan herramientas de desarrollador o funciones avanzadas en navegadores basados en Chromium. Si no son necesarias para su trabajo diario, deshabilitarlas puede reducir la superficie de ataque.
• Fortalecer la detección y respuesta ante amenazas. Soluciones como Kaspersky Next permiten contar con protección en tiempo real, mayor visibilidad sobre amenazas y capacidades de investigación y respuesta, ayudando a identificar comportamientos sospechosos antes de que escalen.
• Apoyarse en inteligencia y servicios especializados. Para organizaciones que requieren mayor capacidad de monitoreo o no cuentan con suficiente experiencia interna, servicios como Kaspersky Threat Intelligence, Managed Detection and Response, Compromise Assessment e Incident Response ayudan a detectar riesgos, responder a incidentes y reducir el impacto de posibles compromisos.

Origen

Los ataques de phishing están entre las tácticas más extendidas y efectivas utilizadas por los ciberdelincuentes contra las empresas. Estos esquemas buscan engañar a los empleados para que revelen información sensible, como credenciales de acceso o datos financieros, haciéndose pasar por fuentes legítimas. Aunque los ataques de phishing adoptan diversas formas, a menudo se dirigen a los sistemas de correo electrónico corporativo debido a la gran cantidad de información valiosa que contienen. Para ayudar a las empresas a reforzar sus defensas contra posibles brechas, Kaspersky revela la anatomía de un ataque de phishing.

Según el informe ‘The State of Email Security 2023’ de Mimecast, el 83% de los CISOs encuestados ven el correo electrónico como la principal fuente de ciberataques. El caso reciente del Grupo Pepco demostró las graves consecuencias que pueden suponer los ataques de phishing en un negocio. A finales de febrero, la empresa minorista informó de que su filial húngara había sido víctima de un sofisticado ataque de phishing, perdiendo aproximadamente 17 millones de dólares en efectivo. Este incidente pone de manifiesto la creciente amenaza que suponen los ciberdelincuentes y subraya la necesidad crítica de que las organizaciones refuercen sus defensas de ciberseguridad.

En respuesta a este problema, Kaspersky desarrolla la anatomía de un ataque de phishing para ayudar a las empresas a protegerse eficazmente contra posibles brechas:

1. Motivación de los ciberdelincuentes. Los ataques de phishing provienen de ciberdelincuentes motivados por varios factores. Principalmente, buscan ganancias financieras mediante la adquisición ilegal de información sensible como detalles de tarjetas de crédito o credenciales de acceso, que pueden ser vendidas o utilizadas para transacciones fraudulentas. Además, algunos están motivados por agendas políticas o ideológicas, o por fines de espionaje. A pesar de las diferentes motivaciones, estos ataques representan graves riesgos para las empresas.

2. El acercamiento inicial. Por lo general, los ataques de phishing comienzan con la creación de correos electrónicos fraudulentos diseñados para inducir a los destinatarios a actuar. Estos correos a menudo imitan comunicaciones legítimas de fuentes fiables, como compañeros, socios comerciales u organizaciones reputadas. Para aumentar la credibilidad, los atacantes pueden emplear tácticas como suplantación de direcciones de envío o replicación de la marca corporativa. La situación se agrava aún más con la aparición de ataques de phishing impulsados por IA, que utilizan algoritmos sofisticados para crear correos electrónicos de phishing altamente convincentes y personalizados. Esto empeora el desafío de detectar y combatir tales amenazas.

3. Contenido engañoso y técnicas. El éxito de los ataques de phishing radica en la explotación de las vulnerabilidades humanas. Los ciberdelincuentes aprovechan técnicas de manipulación psicológica, obligando a las víctimas a actuar impulsivamente sin evaluar completamente la legitimidad del correo electrónico. Los correos electrónicos de phishing emplean diversas estrategias para engañar a los destinatarios y obtener las respuestas deseadas, entre las que destacan:

• Falsas premisas: los correos pueden manifestar urgencia o importancia, instando a los destinatarios a actuar rápidamente para evitar supuestas consecuencias o para aprovechar oportunidades percibidas.

• Ingeniería social: los atacantes personalizan correos electrónicos y adaptan los mensajes a los intereses, funciones o preocupaciones de los destinatarios, lo que aumenta la probabilidad de atraer a la víctima.

• Enlaces y archivos adjuntos maliciosos: a menudo los correos electrónicos de contienen enlaces a páginas web fraudulentas o archivos adjuntos maliciosos diseñados para recopilar credenciales, instalar malware o iniciar transacciones no autorizadas.

4. Evadir detección. Para evitar la detección por filtros de seguridad de correo electrónico y soluciones anti-phishing, los ciberdelincuentes perfeccionan constantemente sus tácticas y se adaptan a las medidas de ciberseguridad en evolución. Pueden emplear técnicas de ofuscación, métodos de cifrado o redirección de URL para eludir la detección y aumentar la efectividad de sus ataques.

5. Consecuencias de los ataques de phishing exitosos. Cuando los ataques de phishing tienen éxito, las consecuencias pueden ser graves para las organizaciones. Las violaciones de los sistemas de correo electrónico corporativo pueden provocar el acceso no autorizado a datos confidenciales, pérdidas financieras, daños a la reputación e incumplimiento de la normativa. Además, las cuentas de correo electrónico comprometidas pueden servir de punto de apoyo para otros ciberataques, como el Business Email Compromise (BEC) o la filtración de datos.

6. Estrategia de mitigación. Para protegerse contra los ataques de phishing dirigidos a los sistemas de correo electrónico corporativo, las organizaciones deben aplicar medidas de ciberseguridad sólidas y educar a los empleados sobre la concienciación y las mejores prácticas en materia de phishing. Las estrategias de mitigación eficaces incluyen formación de los empleados, introducción de la autenticación multifactor, formulación de planes de respuesta a incidentes y despliegue de soluciones avanzadas de filtrado y seguridad del correo electrónico.

“En el panorama de amenazas actual, en constante evolución, las empresas se enfrentan a una variedad cada vez mayor de riesgos cibernéticos, con ataques basados en correo electrónico que representan una amenaza particularmente engañosa. En Kaspersky, reconocemos la importancia de equipar a las organizaciones con soluciones de ciberseguridad sólidas para ayudar a las empresas a defenderse contra estas amenazas en evolución. Nuestra solución recién actualizada Kaspersky Security for Mail Server combina capacidades avanzadas de filtrado de contenido con tecnología de aprendizaje automático de vanguardia para proporcionar una protección inigualable en los sistemas de correo corporativo incluso contra ataques de phishing impulsados por IA. Así, las empresas pueden defenderse proactivamente contra ataques de phishing y otras amenazas maliciosas, asegurando la seguridad e integridad de sus datos sensibles”, comenta Timofey Titkov, jefe de la línea de Productos de Seguridad en la Nube y Red de Kaspersky.

Para más consejos de ciberseguridad, visite nuestro blog.

Origen