{"id":1448,"date":"2026-07-07T17:41:45","date_gmt":"2026-07-07T17:41:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/07\/las-herramientas-debull-abusan-del-flujo-de-codigo-de-dispositivo-de-microsoft-para-apuntar-a-cuentas-m365-cyberdefensa-mx\/"},"modified":"2026-07-07T17:41:45","modified_gmt":"2026-07-07T17:41:45","slug":"las-herramientas-debull-abusan-del-flujo-de-codigo-de-dispositivo-de-microsoft-para-apuntar-a-cuentas-m365-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/07\/las-herramientas-debull-abusan-del-flujo-de-codigo-de-dispositivo-de-microsoft-para-apuntar-a-cuentas-m365-cyberdefensa-mx\/","title":{"rendered":"Las herramientas DEBULL abusan del flujo de c\u00f3digo de dispositivo de Microsoft para apuntar a cuentas M365 \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Se ha observado una campa\u00f1a de phishing de c\u00f3digo de dispositivo Microsoft 365 que aprovecha se\u00f1uelos con temas de colaboraci\u00f3n para tomar el control de las cuentas de las v\u00edctimas entre la \u00faltima semana de junio de 2026 y principios de julio, seg\u00fan recomendaciones<\/a> de ZeroBEC.<\/p>\n

\u00abLa campa\u00f1a no depend\u00eda de una p\u00e1gina de contrase\u00f1a falsa de Microsoft. Utiliz\u00f3 un se\u00f1uelo malicioso de estilo colaborativo para empujar a los usuarios a la experiencia leg\u00edtima de inicio de sesi\u00f3n del dispositivo Microsoft, mientras que un agente backend generaba y sondeaba tokens de c\u00f3digo de dispositivo del Agente de Autenticaci\u00f3n de Microsoft\u00bb, dijo la compa\u00f1\u00eda de seguridad de correo electr\u00f3nico en un informe compartido con The Hacker News.<\/p>\n

Se eval\u00faa que la actividad comparte superposiciones \u00abfuertes\u00bb con una campa\u00f1a documentada por Microsoft en febrero de 2025 bajo el nombre de Storm-2372, incluido el uso de mensajes o se\u00f1uelos estilo Teams para enga\u00f1ar a v\u00edctimas desprevenidas para que ingresen un c\u00f3digo de dispositivo proporcionado por el atacante, junto con sus credenciales, lo que permite efectivamente al actor de amenazas recuperar el token y secuestrar su cuenta.<\/p>\n

A pesar de estas similitudes, se eval\u00faa que los actores de amenazas est\u00e1n empleando t\u00e9cnicas de estilo Storm-2372 a trav\u00e9s de lo que se ha descrito como una capa de herramientas reutilizable llamada DEBULL<\/b>.<\/p>\n

El phishing de c\u00f3digo de dispositivo se refiere a una t\u00e9cnica de robo de identidad en la que los atacantes explotan un mecanismo de autenticaci\u00f3n OAuth 2.0 leg\u00edtimo, espec\u00edficamente el flujo de concesi\u00f3n de autorizaci\u00f3n de dispositivo, para evitar la autenticaci\u00f3n multifactor (MFA) y obtener acceso persistente a la cuenta sin tener que robar las contrase\u00f1as de los usuarios.<\/p>\n

A diferencia de los ataques de phishing tradicionales que requieren que los operadores configuren p\u00e1ginas de inicio de sesi\u00f3n falsas de adversario en el medio (AitM), el phishing de c\u00f3digo de dispositivo se basa en manipular a un usuario para que complete un mensaje de autenticaci\u00f3n real y confiable.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Autenticaci\u00f3n de c\u00f3digo de dispositivo, por microsoft<\/a>es un flujo OAuth leg\u00edtimo dise\u00f1ado para dispositivos con interfaces limitadas, como televisores inteligentes o impresoras, que no pueden admitir un inicio de sesi\u00f3n interactivo tradicional. En este escenario, al usuario se le presenta un c\u00f3digo corto en el dispositivo desde el que intenta iniciar sesi\u00f3n y se le solicita que ingrese ese c\u00f3digo en un navegador web en un dispositivo separado para completar la autenticaci\u00f3n.<\/p>\n

Los actores de amenazas tienen abusado<\/a> esta separaci\u00f3n para insertarse y iniciar el flujo de autenticaci\u00f3n<\/a>. Luego, comparten ese c\u00f3digo con el objetivo a trav\u00e9s de un se\u00f1uelo de phishing. As\u00ed, cuando el usuario ingresa el c\u00f3digo, autoriza la sesi\u00f3n del actor de la amenaza sin su conocimiento, otorg\u00e1ndole acceso a la cuenta.<\/p>\n

\u00abEl phishing del c\u00f3digo del dispositivo no se abre camino\u00bb, Huntress notas<\/a>. \u00abUtiliza un flujo de autenticaci\u00f3n leg\u00edtimo para atravesar la puerta principal, sin necesidad de contrase\u00f1a, sin pasar por MFA y con tokens de sesi\u00f3n entregados directamente al atacante\u00bb.<\/p>\n

Los ataques exitosos de phishing de c\u00f3digo de dispositivo pueden facilitar la apropiaci\u00f3n total de la cuenta, el robo de informaci\u00f3n valiosa, el fraude, el compromiso del correo electr\u00f3nico empresarial (BEC), el movimiento lateral dentro de un entorno comprometido e incluso ataques disruptivos como el ransomware.<\/p>\n

\"\"<\/a><\/div>\n

\u00abEn la mayor\u00eda de los ataques de phishing de c\u00f3digo de dispositivo actuales, el c\u00f3digo se genera din\u00e1micamente cuando un usuario hace clic en el enlace de phishing inicial. Este cambio aparentemente peque\u00f1o permite al usuario ver el correo electr\u00f3nico en cualquier momento para iniciar la cadena de ataque\u00bb, Proofpoint dicho<\/a> en un an\u00e1lisis publicado en mayo de 2026. \u00abEstas nuevas implementaciones de las cadenas de ataque de c\u00f3digo de dispositivo se pueden comprar a trav\u00e9s de ofertas de phishing como servicio (PhaaS), como EvilTokens o Tycoon, o pueden ser creadas y propiedad del actor de amenazas que realiza las campa\u00f1as\u00bb.<\/p>\n

Tambi\u00e9n se sabe que estas campa\u00f1as aprovechan el salto de toma de control de cuenta (ATO), una t\u00e9cnica en la que un atacante compromete una cuenta de correo electr\u00f3nico inicial y luego abusa de ella para enviar enlaces de phishing a un conjunto m\u00e1s amplio de contactos en forma de bot\u00f3n, texto con hiperv\u00ednculo, incrustado en un documento o c\u00f3digo QR. Los enlaces, cuando los visita el destinatario, inician una secuencia de ataque que emplea el proceso de autorizaci\u00f3n de dispositivos de Microsoft.<\/p>\n

ZeroBEC dijo que la campa\u00f1a que observ\u00f3 implica el uso de pretextos de pago y carpetas compartidas en correos electr\u00f3nicos de phishing para enga\u00f1ar a las v\u00edctimas para que hagan clic en una URL que las lleva a un sitio web de alquiler croata leg\u00edtimo pero comprometido, que, a su vez, act\u00faa como un orquestador de c\u00f3digos de dispositivos utilizado para iniciar la cadena de desaf\u00edo de c\u00f3digos de dispositivos de Microsoft.<\/p>\n

El flujo de trabajo se caracteriza por la presencia de marcadores de desarrollador en idioma turco, aunque las pistas no son suficientes para atribuir definitivamente la procedencia de la campa\u00f1a. Un an\u00e1lisis m\u00e1s detallado de la infraestructura ha revelado que DEBULL es probablemente una plataforma de phishing como servicio (PhaaS) que utiliza GraphSpy<\/a> o un flujo de trabajo derivado de GraphSpy para Microsoft 365 y Entra post-explotaci\u00f3n.<\/p>\n

\u00abLos operadores pueden definir un nombre de p\u00e1gina y un slug, editar HTML, CSS y JavaScript directamente y luego elegir c\u00f3mo se publica el se\u00f1uelo\u00bb, dijo ZeroBEC. \u00abLas plantillas integradas inclu\u00edan una p\u00e1gina de autenticaci\u00f3n de c\u00f3digo de dispositivo de Microsoft 365, una p\u00e1gina de devoluci\u00f3n de llamada de OAuth y una p\u00e1gina de inicio moderna. La plantilla de Microsoft 365 es especialmente importante porque expone el bloque de construcci\u00f3n exacto utilizado por la campa\u00f1a: una visualizaci\u00f3n del c\u00f3digo de usuario, un comportamiento de copia de c\u00f3digo y un v\u00ednculo para iniciar sesi\u00f3n en el dispositivo de Microsoft\u00bb.<\/p>\n

\u00abLa conclusi\u00f3n m\u00e1s \u00fatil es que el arte de identidad al estilo Storm-2372 ahora se est\u00e1 empaquetando en una infraestructura de corredor reutilizable. DEBULL proporciona la capa orientada a la campa\u00f1a y al operador. GraphSpy o el c\u00f3digo derivado de GraphSpy probablemente maneja la capa posterior a la autenticaci\u00f3n. El atractivo se puede cambiar sin cambiar la pila de identidades del backend\u00bb.<\/p>\n

La divulgaci\u00f3n se produce como lo dijo Cisco Talos. identificado<\/a> un panel de operador PhaaS con todas las funciones llamado ARToken que comparte infraestructura, contratos API y patrones operativos con la plataforma de phishing de c\u00f3digo de dispositivo EvilTokens y est\u00e1 disponible para los afiliados.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abEl panel ARToken expone m\u00e1s de 80 puntos finales API para phishing de c\u00f3digos de dispositivos, persistencia de tokens de actualizaci\u00f3n primaria (PRT), acceso a correo electr\u00f3nico, operaciones de compromiso de correo electr\u00f3nico empresarial (BEC) y exfiltraci\u00f3n de SharePoint, todo accesible para los operadores a trav\u00e9s de un panel basado en React\u00bb, dijo Talos.<\/p>\n

EvilTokens, como DEBULL, permiten a los atacantes utilizar tokens recolectados como armas para filtrar correos electr\u00f3nicos, archivos y otros datos confidenciales de cuentas de Microsoft comprometidas, realizar reconocimientos a trav\u00e9s de Microsoft Graph API y establecer acceso persistente. Adem\u00e1s, incorpora<\/a> Funciones impulsadas por inteligencia artificial (IA) para automatizar y escalar los flujos de trabajo de BEC, como examinar miles de correos electr\u00f3nicos recopilados, identificar hilos de correo electr\u00f3nico relacionados con finanzas y redactar borradores de correos electr\u00f3nicos de BEC.<\/p>\n

ARToken funciona como un conjunto de herramientas completo posterior al compromiso que permite a los operadores aprovechar el token de acceso capturado recuperado luego de una autenticaci\u00f3n exitosa del c\u00f3digo del dispositivo para mantener el acceso, realizar operaciones de correo electr\u00f3nico, acceder a OneDrive y SharePoint, y explorar las sesiones de Microsoft 365 de las v\u00edctimas fuera del panel utilizando una herramienta dedicada conocida como ARTBrowser.<\/p>\n

\"\"<\/a><\/div>\n

\u00abEstas caracter\u00edsticas indican que la plataforma es m\u00e1s madura que un simple kit de phishing de c\u00f3digo de dispositivo: es un entorno de operaciones BEC completo\u00bb, dijo el investigador de Talos, Michael Kelley.<\/p>\n

El aumento de los ataques de phishing de c\u00f3digos de dispositivos tambi\u00e9n ha llevado a otros kits PhaaS como Tycoon 2FA a adoptar la t\u00e9cnica para secuestrar cuentas de Microsoft 365 en sus rebote<\/a> despu\u00e9s de una operaci\u00f3n policial, lo que indica un cambio m\u00e1s amplio dentro del panorama de amenazas.<\/p>\n

\u00abLos operadores de Tycoon 2FA han reutilizado su kit PhaaS existente como marco de entrega para el phishing de concesi\u00f3n de c\u00f3digo de dispositivo OAuth\u00bb, eSentire anotado<\/a> en mayo de 2026. \u00abEl ataque comienza cuando una v\u00edctima hace clic en una URL de seguimiento de clics de Trustifi en un correo electr\u00f3nico atractivo y culmina cuando la v\u00edctima, sin saberlo, otorga tokens OAuth a un dispositivo controlado por el atacante a trav\u00e9s del flujo leg\u00edtimo de inicio de sesi\u00f3n del dispositivo de Microsoft en microsoft.com\/devicelogin\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Se ha observado una campa\u00f1a de phishing de c\u00f3digo de dispositivo Microsoft 365 que aprovecha se\u00f1uelos con temas de colaboraci\u00f3n para tomar el control de las cuentas de las v\u00edctimas entre la \u00faltima semana de junio de 2026 y principios de julio, seg\u00fan recomendaciones de ZeroBEC. \u00abLa campa\u00f1a no depend\u00eda de una p\u00e1gina de contrase\u00f1a […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1193,886,376,704,24,3577,70,647,3578,205,95,3579,50,36],"class_list":["post-1448","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-abusan","tag-apuntar","tag-codigo","tag-cuentas","tag-cyberdefensa-mx","tag-debull","tag-del","tag-dispositivo","tag-flujo","tag-herramientas","tag-las","tag-m365","tag-microsoft","tag-para"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1448","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1448"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1448\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1448"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1448"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1448"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}