{"id":1512,"date":"2026-07-13T10:06:42","date_gmt":"2026-07-13T10:06:42","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/13\/un-servidor-mal-configurado-revela-tres-operaciones-de-phishing-de-evilginx-dirigidas-a-microsoft-365-cyberdefensa-mx\/"},"modified":"2026-07-13T10:06:42","modified_gmt":"2026-07-13T10:06:42","slug":"un-servidor-mal-configurado-revela-tres-operaciones-de-phishing-de-evilginx-dirigidas-a-microsoft-365-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/13\/un-servidor-mal-configurado-revela-tres-operaciones-de-phishing-de-evilginx-dirigidas-a-microsoft-365-cyberdefensa-mx\/","title":{"rendered":"Un servidor mal configurado revela tres operaciones de phishing de Evilginx dirigidas a Microsoft 365 \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Un atacante que ejecutaba una operaci\u00f3n de phishing en vivo de Microsoft 365 dej\u00f3 un servidor web Python escuchando en un puerto p\u00fablico con la lista de directorios activada. El comando que lo hizo: python3 -m http.server 8080<\/code>todav\u00eda estaba sentado en el legible .bash_history<\/code>.<\/p>\n

A partir de ese lapsus, la empresa de seguridad francesa lexfo<\/a> levant\u00f3 todo el conjunto de herramientas del operador y lo pas\u00f3 a dos operadores de phishing m\u00e1s, tres campa\u00f1as en total. Cada uno ejecut\u00f3 una bifurcaci\u00f3n personalizada del proxy Evilginx de c\u00f3digo abierto, clonado del GitHub p\u00fablico.<\/p>\n

El m\u00e1s grande de los tres hab\u00eda estado funcionando durante m\u00e1s de un a\u00f1o, y sus v\u00edctimas en su mayor\u00eda eran buzones corporativos.<\/p>\n

Los tres superaron MFA de dos maneras mec\u00e1nicamente diferentes: una mediante proxy del inicio de sesi\u00f3n en vivo y otra abusando de un flujo de inicio de sesi\u00f3n leg\u00edtimo de Microsoft. Los dos necesitan defensas diferentes, que es la parte que m\u00e1s importa si ejecuta Microsoft 365.<\/p>\n

La lista de directorios en un servidor de ataque en funcionamiento est\u00e1 cerca de ser una confesi\u00f3n completa. La lista expon\u00eda configuraciones de phishing, registros de recolecci\u00f3n de credenciales, instaladores de RMM, listas combinadas, archivos de respaldo y los propios archivos de sesi\u00f3n de Telegram del operador.<\/p>\n

Detr\u00e1s de \u00e9l se ejecutaba un proxy de adversario en el medio Evilginx y una consola remota SimpleHelp en el mismo host, en 185.163.204[.]7 en Budapest, catalogado a finales de abril de 2026 durante un escaneo de rutina en Internet.<\/p>\n

El historial de bash y una serie de repositorios p\u00fablicos apuntaban directamente al operador: un actor egipcio al que la empresa sigue como codificado<\/strong>activo en foros de pirater\u00eda y VoIP desde 2018, ahora ejecuta una plataforma Microsoft 365 AiTM en picis[.]net y monetizar el acceso a trav\u00e9s de un correo masivo que escribi\u00f3 llamado Blaster MaDoO<\/strong>.<\/p>\n

Su campa\u00f1a se puso en marcha el 20 de abril y continu\u00f3 funcionando hasta el d\u00eda en que se encontr\u00f3 el directorio, el 30 de abril, con nuevos subdominios y un certificado comod\u00edn renovado semanas despu\u00e9s. Su propio robot registr\u00f3 capturas en dos cuentas corporativas de M365, una francesa y otra norteamericana.<\/p>\n

Las capturas repetidas de las mismas cuentas de diferentes IP son consistentes, dice la firma, y \u200b\u200bel operador actualiza los tokens robados a medida que caducan.<\/p>\n

De d\u00f3nde vinieron los kits<\/h2>\n

codemado no construy\u00f3 el marco que ejecuta. Lo clon\u00f3 y su historial de bash lo muestra comparando kits uno al lado del otro. El servidor conten\u00eda cuatro variantes de Evilginx extra\u00eddas de otros dos desarrolladores de GitHub, y ambos resultaron ser operadores activos por derecho propio.<\/p>\n

La primera, reina roja<\/strong>proviene de un operador nigeriano que el informe llama mail-argenta y muestra cu\u00e1nto pulido se incorpora a un marco p\u00fablico. Su tenedor cambia el nombre del crossorigin<\/code> y integrity<\/code> Atributos HTML para anular las comprobaciones de integridad de los subrecursos y agrega un motor de reescritura de URL para http_proxy.go<\/code> para esquivar la detecci\u00f3n basada en rutas. Completa previamente la direcci\u00f3n de correo electr\u00f3nico de la v\u00edctima para reducir el abandono.<\/p>\n

\"\"<\/a><\/div>\n

Tambi\u00e9n establece un TTL de un a\u00f1o, 31.536.000 segundos, en las cookies de sesi\u00f3n de Microsoft capturadas. El informe dice que un inicio de sesi\u00f3n interceptado puede durar m\u00e1s que un restablecimiento de contrase\u00f1a y, sin una pol\u00edtica de acceso condicional compatible con CAE, permanecer utilizable durante meses.<\/p>\n

Un precompilado evilginx2.exe<\/code> est\u00e1 comprometido con el repositorio, por lo que un comprador nunca tiene que construir nada. Una cookie M365 capturada que se encontraba en el repositorio ten\u00eda una fecha de vencimiento del 30 de junio de 2027.<\/p>\n

correo-argenta<\/strong> Fue atrapado como lo hacen sus propias v\u00edctimas. La empresa encontr\u00f3 su correo electr\u00f3nico y una contrase\u00f1a en registros de robo de informaci\u00f3n, el tipo de datos de credenciales recopilados que sus paneles de phishing producen. Esa contrase\u00f1a filtrada coincid\u00eda con la codificada como contrase\u00f1a de MySQL en su panel Kraken y reutilizada en sus cuentas.<\/p>\n

el tranquilo<\/h2>\n

El tercer tenedor, reina negra<\/strong>registr\u00f3 muchas m\u00e1s capturas que los otros dos y nunca toca una contrase\u00f1a. Su autor, a quien los investigadores no pudieron identificar m\u00e1s all\u00e1 del identificador. sarola01<\/strong>lo cre\u00f3 en torno al flujo de c\u00f3digo de dispositivo OAuth de Microsoft, una ruta de inicio de sesi\u00f3n leg\u00edtima destinada a dispositivos con entrada restringida.<\/p>\n

El ataque genera un c\u00f3digo de dispositivo real, lo envuelve en una p\u00e1gina se\u00f1uelo con el tema del Autenticador y le dice al objetivo que lo ingrese en la p\u00e1gina genuina. microsoft.com\/devicelogin<\/code>. La v\u00edctima inicia sesi\u00f3n en una p\u00e1gina real de Microsoft y borra MFA por s\u00ed misma. El backend de saroula01 sondea el punto final del token y toma el token en el momento en que lo hace.<\/p>\n

Llamar a esto \u00abbypass de MFA\u00bb no comprende c\u00f3mo funciona: no se omite nada. La p\u00e1gina de se\u00f1uelo tiene el tema de Authenticator y fue creada por el atacante, pero el c\u00f3digo del dispositivo y la p\u00e1gina de Microsoft donde termina la v\u00edctima son genuinos, por lo que el mensaje de MFA que la v\u00edctima satisface es real.<\/p>\n

Una clave de acceso o FIDO2 tampoco ayuda, porque la v\u00edctima la borra en la infraestructura genuina de Microsoft mientras autoriza la sesi\u00f3n del atacante; el enlace de origen que detiene a Evilginx pasa limpiamente cuando el origen realmente es Microsoft.<\/p>\n

microsoft document\u00f3 la t\u00e9cnica en febrero de 2025.<\/a>en una campa\u00f1a que evalu\u00f3 con confianza media como alineada con Rusia. Desde entonces, se ha extendido mucho m\u00e1s all\u00e1 del uso respaldado por el estado y ha llegado a campa\u00f1as que afectan a cientos de organizaciones de Microsoft 365.<\/p>\n

La versi\u00f3n de saroula01 funcion\u00f3 silenciosamente durante m\u00e1s de un a\u00f1o. La empresa cont\u00f3 218 cuentas capturadas distintas en los registros del bot de Telegram de la campa\u00f1a en una docena de pa\u00edses entre junio de 2025 y julio de 2026, alrededor del 94 por ciento de ellas buzones de correo corporativos. Esas son capturas registradas, no objetivos de escaneo.<\/p>\n

Un archivo de token enviado brevemente al repositorio y luego eliminado, a\u00fan legible en el historial de git, conten\u00eda 97 tokens de Microsoft activos vinculados a tres de esas v\u00edctimas, cada uno configurado para autoRefresh<\/code> y algunos se actualizaron hasta 25 veces. El marco manten\u00eda vivas las sesiones por s\u00ed solo.<\/p>\n

Ambos dominios de phishing, picis.[.]neto y romnor[.]ca, estaban fuera de l\u00ednea cuando The Hacker News revis\u00f3 antes de la publicaci\u00f3n, aunque la l\u00ednea de tiempo del informe muestra fotograf\u00edas.[.]net todav\u00eda aprovisiona nuevos subdominios en mayo de 2026. El equipo de Lexfo CTI le dijo a THN que los dominios ya se hab\u00edan desconectado antes de tomar alguna medida, y lo interpreta como que los operadores rotan la infraestructura o se retiran en lugar de una eliminaci\u00f3n coordinada, aunque no puede confirmar cu\u00e1l.<\/p>\n

\"\"<\/a><\/div>\n

Los tres se conectan, vagamente, con algo m\u00e1s grande. En junio de 2026, SOCRadar documentado<\/a> un ecosistema de phishing como servicio al que llam\u00f3 La cantera<\/strong>ejecutado por un desarrollador al que llama RockyBelling<\/strong> y, seg\u00fan sus c\u00e1lculos, vendido a cerca de 200 operadores.<\/p>\n

MaDoO Blaster aparece promocionado dentro del canal Telegram de The Quarry como una herramienta de terceros, marcada de forma independiente en ambos art\u00edculos, que el informe enmarca como una relaci\u00f3n con el proveedor, no como membres\u00eda en ella. Los artefactos no pueden demostrar si mail-argenta o saroula01 tienen alg\u00fan v\u00ednculo directo. Sus kits estaban en GitHub p\u00fablico y cualquiera podr\u00eda haberlos tomado.<\/p>\n

Construido con ayuda<\/h2>\n

El informe encontr\u00f3 signos de desarrollo asistido por IA en las tres operaciones, aunque var\u00edan en intensidad. saroula01 dej\u00f3 dos confirmaciones de git en coautor\u00eda con Claude Models. correo-argenta cometi\u00f3 un instructions.txt<\/code> Se trata de una copia textual de una sesi\u00f3n de codificaci\u00f3n de IA, con referencias a indicaciones anteriores y todo, que documenta c\u00f3mo se cre\u00f3 la funci\u00f3n de reescritura de URL.<\/p>\n

El de Codemado es m\u00e1s delgado: cr\u00e9ditos de uno de sus guiones CiberNeurova<\/strong>una API paga de generaci\u00f3n de c\u00f3digo \u00absin censura\u00bb, seg\u00fan el informe, que se anuncia con el mensaje \u00abConstr\u00fayeme un keylogger en Python\u00bb. Dos de los tres pusieron un modelo directamente en el c\u00f3digo; el tercero es una l\u00ednea de cr\u00e9dito, y ninguno de ellos muestra cu\u00e1nto de cada construcci\u00f3n hizo el modelo.<\/p>\n

Tampoco se limita a estos tres. Microsoft ha documentado por separado Phishing de c\u00f3digo de dispositivo basado en backend impulsado por IA<\/a> Se\u00f1uelos de automatizaci\u00f3n e IA generativa.<\/p>\n

The Hacker News pregunt\u00f3 a los autores del informe cu\u00e1ntas herramientas de IA produjeron realmente en las tres operaciones. El equipo de Lexfo CTI dijo que las bifurcaciones de Evilginx solo llevaban cambios menores en el n\u00facleo, y que los signos m\u00e1s claros del uso de IA se encontraban en el c\u00f3digo adhesivo que los rodeaba, los scripts y los phishlets, varios de los cuales se le\u00edan como resultados directos del modelo. Seg\u00fan el equipo, no era tanto el marco en s\u00ed como el c\u00f3digo creado a su alrededor.<\/p>\n

\u00bfQu\u00e9 pueden hacer realmente los defensores?<\/h2>\n

Las dos t\u00e9cnicas no comparten una soluci\u00f3n. MFA, FIDO2 o claves de acceso resistentes al phishing a\u00fan cierran el lado de Evilginx al vincular el inicio de sesi\u00f3n al dominio real. No detiene el abuso del c\u00f3digo del dispositivo. Para eso, la palanca es Acceso Condicional.<\/p>\n

La propia l\u00ednea de Microsoft es bloquear el flujo de c\u00f3digo del dispositivo siempre que sea posible<\/a>. Un pu\u00f1ado de configuraciones realmente lo necesitan, en su mayor\u00eda hardware con restricciones de entrada, como dispositivos de sala de Teams y algunas herramientas de l\u00ednea de comandos. Inventario que utiliza los registros de inicio de sesi\u00f3n, bloquea el flujo en todos los dem\u00e1s lugares y prueba la pol\u00edtica en modo de solo informe antes de aplicarla.<\/p>\n

Coloque pol\u00edticas de ubicaci\u00f3n de acceso condicional basadas en IP y evaluaci\u00f3n de acceso continuo en la parte superior, de modo que en las cargas de trabajo compatibles de Microsoft 365, un token robado visto desde fuera de sus rangos permitidos se reeval\u00fae en lugar de agotar su vida \u00fatil.<\/p>\n

Para la detecci\u00f3n, el informe marca las concesiones de tokens de actualizaci\u00f3n del ID de cliente de Microsoft Office. d3590ed6-52b3-4102-aeff-aad2292ab01c<\/code> en los registros de inicio de sesi\u00f3n de Entra como dignos de atenci\u00f3n, donde ese cliente de escritorio no est\u00e1 en uso normal; cotejarlos con direcciones IP de origen desconocidas.<\/p>\n

La misma gu\u00eda de Microsoft se\u00f1ala un problema: una sesi\u00f3n que comenz\u00f3 con el flujo de c\u00f3digo del dispositivo permanece etiquetada en actualizaciones posteriores incluso cuando el evento actual ya no lo muestra, as\u00ed que busque en los registros Original transfer method<\/code> campo, no solo el protocolo de autenticaci\u00f3n en vivo.<\/p>\n

En los endpoints, busque las herramientas RMM que estos operadores utilizan para lograr persistencia; El kit de Codemado llega a XEOX, as\u00ed que comience con el agente en C:\\Program Files (x86)\\XEOX\\xeox-agent_x64.exe<\/code> y tareas programadas coincidentes *XEOX*Agent*Watchdog*<\/code>. Los dominios y las IP est\u00e1n en el informe, pero esa infraestructura rota, as\u00ed que tr\u00e1telo como una contenci\u00f3n, no como una soluci\u00f3n.<\/p>\n

Hacker News tambi\u00e9n pregunt\u00f3 a Microsoft sobre el abuso del flujo de c\u00f3digo de su dispositivo y no hab\u00eda recibido respuesta al momento de la publicaci\u00f3n. Esta historia se actualizar\u00e1 con cualquier respuesta.<\/p>\n

Nada de esto requiri\u00f3 mucho: tres operadores, ninguno de los cuales construy\u00f3 los marcos que ejecutaban, pusieron en marcha campa\u00f1as de trabajo en repositorios p\u00fablicos, kits que se venden por unos pocos cientos de d\u00f3lares y un modelo que ayudaba con las piezas personalizadas.<\/p>\n

El informe dice que la barrera para una campa\u00f1a funcional ha ca\u00eddo a casi cero, y el equipo de Lexfo CTI espera que este tipo de ataque se vuelva significativamente m\u00e1s com\u00fan en los pr\u00f3ximos meses.<\/p>\n

Un ecosistema barato ahora ofrece dos formas de evitar la MFA, y esa es la parte que dura m\u00e1s que cualquier campa\u00f1a aqu\u00ed: una tienda endurecida contra el phishing de proxy inverso todav\u00eda est\u00e1 abierta al abuso de c\u00f3digos de dispositivos. Bloquear esa segunda ruta es una pol\u00edtica de acceso condicional, no se agrega ninguna clave de acceso y existe solo una vez que alguien la escribe.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Un atacante que ejecutaba una operaci\u00f3n de phishing en vivo de Microsoft 365 dej\u00f3 un servidor web Python escuchando en un puerto p\u00fablico con la lista de directorios activada. El comando que lo hizo: python3 -m http.server 8080todav\u00eda estaba sentado en el legible .bash_history. A partir de ese lapsus, la empresa de seguridad francesa lexfo […]<\/p>\n","protected":false},"author":1,"featured_media":1513,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3702,24,431,3703,1669,50,407,365,131,943,1389],"class_list":["post-1512","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-configurado","tag-cyberdefensa-mx","tag-dirigidas","tag-evilginx","tag-mal","tag-microsoft","tag-operaciones","tag-phishing","tag-revela","tag-servidor","tag-tres"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1512","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1512"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1512\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1513"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1512"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1512"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1512"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}