Una nueva operación de phishing como servicio (PhaaS) llamada Forg365 está utilizando una combinación de phishing de código de dispositivo, tácticas de adversario en el medio (AitM), evasión antibot, creación de señuelos asistida por inteligencia artificial (IA) y operaciones de buzón posteriores al compromiso dirigidas a cuentas de Microsoft 365.

Distribuidas a través de Telegram y con un costo de 400 dólares al mes (o 3.800 dólares al año), las cadenas de ataque aprovechan señuelos de phishing que utilizan infraestructura legítima de entrega de correo electrónico, como Amazon Simple Email Service (Amazon SES) y Twilio SendGrid, para imitar una cadena de redireccionamiento que se mezcla con el tráfico de correo electrónico normal antes de terminar en dominios controlados por Forg365.

«El panel expone un flujo de trabajo de operador maduro: cuentas, enlaces, invitaciones, configuración de aplicaciones OAuth, enlaces de redireccionamiento, generación de SVG, envío de campañas, perfiles SMTP, rotación SMTP, generación de correo electrónico AI, almacenamiento de tokens, inteligencia de cuentas, alertas de palabras clave, enlaces de visor y soporte de extensiones de navegador», ZeroBAC dicho.

La compañía de seguridad de correo electrónico dijo que el kit PhaaS se entiende mejor como similar al ecosistema Kali365 (también conocido como Octopi365 y Freedom365) y Sneaky 2FA, lo que refleja la industrialización del modelo de negocio, que ahora combina la creación de señuelos, la entrega, la evasión, el manejo de tokens/sesiones y las operaciones posteriores al compromiso bajo una configuración basada en suscripción que permite incluso a los actores de amenazas con poca o ninguna experiencia técnica orquestar campañas de phishing con un esfuerzo mínimo y en escala.

Se han observado cadenas de ataques que utilizan Forg365 utilizando señuelos con temas de documentos comerciales o de aprobación de remesas para engañar a los destinatarios para que hagan clic en enlaces maliciosos. El dominio del remitente utiliza Amazon SES para la entrega, mientras que el cuerpo del mensaje contiene imágenes alojadas en SendGrid o recursos de seguimiento.

Los clientes que completan con éxito el registro de Telegram utilizan un panel de operador accesible a través de clearnet («logfriend[.]com/login»), desde donde pueden generar señuelos, configurar campañas y administrar tokens capturados.

«Forg365 incluye una rama de phishing de autenticación de dispositivo que presenta una página de códigos de verificación al estilo de Microsoft y empuja a la víctima a un flujo de inicio de sesión legítimo del Agente de autenticación de Microsoft», explicó ZeroBAC. «La víctima ve superficies de autenticación reales de Microsoft, pero el código autoriza una sesión controlada por el atacante».

Para el phishing de AitM, la plataforma emplea tokens de ruta, cookies de sesión y clasificación de tráfico para determinar si se entrega contenido de phishing o un señuelo benigno. Si se detecta una conexión VPN, el kit redirige a contenido señuelo inofensivo en lugar de exponer las páginas de phishing.

Un aspecto notable de la plataforma Forg365 es que ofrece una extensión llamada ForgCookie para navegadores basados ​​en Chromium como Google Chrome, Microsoft Edge y Brave que está diseñada para un acceso continuo a las cuentas comprometidas. Descrito como una «actualización automática de cookies SSO para los servicios de Microsoft», el complemento actúa como intermediario entre la adquisición del token y el acceso al navegador siguiendo los pasos que se enumeran a continuación:

• Solicita datos de cuenta desde el backend de Forg365
• Llama al punto final de generación de cookies para una cuenta seleccionada
• Borra las cookies de sesión de Microsoft
• Inyecta la cookie de credencial del token de actualización generada en el dominio de inicio de sesión de Microsoft.
• Activa un flujo OAuth silencioso
• Captura las cookies de Microsoft resultantes en todos los dominios de Microsoft

Forg365 va más allá de la simple recolección de credenciales y tokens para facilitar una amplia gama de acciones posteriores al compromiso, incluido el monitoreo de palabras clave específicas en cuentas de correo electrónico comprometidas y la redacción de una respuesta de mensaje a un hilo de correo electrónico en particular utilizando la ayuda de la IA.

«El resultado es una plataforma que reduce el umbral de habilidades al tiempo que aumenta la coherencia operativa. Los afiliados menos experimentados pueden usar plantillas prediseñadas, mientras que los operadores más capaces pueden personalizar las páginas de destino, rotar la infraestructura, administrar tokens, generar material de cookies y monitorear cuentas comprometidas», dijo ZeroBAC.

La divulgación coincide con el descubrimiento de varias campañas que emplean kits de phishing para el robo de credenciales.

• Envío alertas falsas de actividad de cuentas de Microsoft desde una cuenta de remitente SaaS de terceros legítima pero comprometida para dirigir a los usuarios a páginas de phishing estilo Sneaky 2FA para iniciar una cadena de redireccionamiento que conduce al host de phishing final, no sin antes realizar comprobaciones para decidir si el visitante es un usuario real.
• Usar correos electrónicos de phishing que dirigen a los destinatarios a un sitio web alojado en Canva, lo que luego activa el flujo de phishing del código del dispositivo para secuestrar cuentas de Microsoft utilizando el Kit de phishing Kali65. El kit admite más de 33 señuelos diferentes, un canal de pagos y una aplicación de escritorio llamada OctoLink Live (también conocida como Kali365 Live) que abusa del token robado para iniciar una sesión del navegador Chromium y abrir el buzón de correo de la víctima en OWA, OneDrive, SharePoint o admin.microsoft.com. La plataforma también ofrece una herramienta conocida como OctoLink Sender para enviar masivamente correos electrónicos de phishing desde la cuenta violada a otros contactos, una técnica llamada phishing lateral.
• Campañas de phishing utilizando Kali365 También han distribuido páginas de phishing que se hacen pasar por el mensajero MAX de Rusia, lo que indica un intento de identificar a los usuarios en Rusia. «Un operador de phishing que puede convertir la apropiación de cuentas MAX en propagación tiene acceso a una de las mayores bases de mensajería instaladas en el mundo de habla rusa», Arctic Wolf dicho.
• Envío de correos electrónicos que imitan al IRS y la Administración de la Seguridad Social, junto con Adobe, Microsoft, DocuSign y Dropbox, para entregar software legítimo de acceso remoto como ConnectWise ScreenConnect como parte de campañas de phishing utilizando un kit PhaaS llamado La cantera desarrollado, mantenido y vendido por un operador solitario llamado RockyBelling. El precio del kit oscila entre 500 y 3.000 dólares. Esto incluye herramientas como Rocky Gmail Sender (una herramienta de correo electrónico masivo), Rocky Email Sorter (para ordenar direcciones de correo electrónico por dominio en Gmail, Yahoo, Hotmail y AOL) y VioletRAT.
• Envío mensajes SMS hacerse pasar por el Servicio Postal de EE. UU. (USPS) y UPS para engañar a las víctimas para que visiten una página de phishing que solicita a los usuarios que ingresen su información personal y financiera con el pretexto de una entrega fallida de un paquete y programar una nueva entrega. «Debajo del engaño, el kit captura datos en tiempo real», dijo Censys. «Abre un WebSocket de regreso a su origen y transmite los datos de la tarjeta de la víctima pulsación de tecla, ejecuta una búsqueda de BIN en el lado del servidor en el número de tarjeta y envía decisiones de enrutamiento (reintento, solicitud de PIN, solicitud de OTP, interruptor de apagado) de regreso al navegador de la víctima mientras escribe».
• Usar flujos de trabajo de propuestas de ofertas falsas para hacerse cargo de las cuentas de Google mediante un marco llamado nyasher. La cadena de redireccionamiento incorpora una página de verificación de «presionar y mantener» para filtrar los escáneres y bots automatizados, antes de navegar a una URL de blob. «La página final mostraba una interfaz de inicio de sesión de Google, pero no era accesible como un documento HTML alojado normal», dijo ZeroBAC. «Existía como una URL de objeto creada por el navegador».
• Uso de flujos de trabajo de inscripción falsos de Google Partners y Google Premier Partner en correos electrónicos de phishing para redirigir a los destinatarios a una página de inicio de sesión de Google falsa diseñada para capturar credenciales en tiempo real como parte de una campaña con nombre en código Tormenta GPPS.
• Usar un alias de correo electrónico heredado para apuntar a la bandeja de entrada de un usuario e iniciar un flujo de phishing de código de dispositivo que utiliza el kit EvilTokens. «Se llegó al kit a través de un enlace de seguimiento de Mailjet, luego de un sitio de WordPress comprometido, luego de un intersticial CAPTCHA y luego del host de Cloudflare Workers», ZeroBAC dicho. «Tres saltos de infraestructura en vivo entre el cuerpo del correo electrónico y el kit, ninguno de los cuales es el kit en sí».

Para contrarrestar estas amenazas, se recomienda bloquear la autenticación del código del dispositivo a menos que sea necesario, revisar los artefactos del buzón después de los eventos del código del dispositivo para detectar signos de actividad inusual, auditar las reglas de flujo de correo y retirar los alias heredados que ya no corresponden a empleados activos.

«La campaña logró llegar a la bandeja de entrada porque la organización destinataria aún mantenía una relación de reenvío activa desde un espacio de nombres previo a la adquisición a un buzón de correo actual», señaló ZeroBAC.

«El atacante utilizó una identidad histórica aún resoluble para entregar correo que, desde el punto de vista de la SEG, parecía correspondencia reenviada normal. Desde el punto de vista del usuario, el mensaje llegó a su bandeja de entrada de trabajo sin ninguna señal visible de que había tomado un camino indirecto».