Amazon que anunció detectó e interrumpió una campaña orquestada por el grupo de hackers patrocinado por el estado ruso conocido como APT29 (también llamado Cozy Bear, The Dukes, entre otros), que abusaba del flujo de autenticación de código de dispositivo de Microsoft para obtener acceso no autorizado a cuentas.
🔍 ¿Cómo funcionaba la campaña?
- Los atacantes comprometieron múltiples sitios web legítimos e inyectaron código JavaScript malicioso.
- Aproximadamente el 10% de los visitantes eran redirigidos a dominios controlados por APT29, como findcloudflare[.]com , que imitaban páginas legítimas de verificación de Cloudflare para engañar a las víctimas.
- El objetivo era inducir a los usuarios a ingresar un código legítimo de dispositivo, generado por los atacantes, en una página de inicio de sesión falsa.
- Esto otorgaba a los hackers acceso a las cuentas y datos de Microsoft 365 de las víctimas.
⚠️Técnicas avanzadas de evasión
La campaña incorporó varias técnicas para evitar la detección y mantener la persistencia:
- Uso de codificación Base64 para ocultar el código malicioso.
- Configuración de cookies para evitar redirecciones repetidas a los mismos visitantes.
- Cambio constante a nuevas infraestructuras cuando alguna era bloqueada, incluyendo migraciones de AWS a otros proveedores de nube.
🛡️ Contexto y antecedentes
APT29 es conocido por sus atractivos ataques de espionaje y ha sido vinculado a campañas recientes que utilizan archivos maliciosos de Protocolo de Escritorio Remoto (RDP) para atacar objetivos en Ucrania y exfiltrar datos sensibles.
Desde principios de 2025, el grupo ha empleado diversas técnicas de phishing, incluyendo phishing de código de dispositivo y de unión de dispositivo, para comprometer cuentas de Microsoft 365.
En junio de 2025, Google también informó una campaña relacionada con APT29 (bajo el alias UNC6293) que usaba contraseñas específicas de aplicación para acceder a correos electrónicos de víctimas.
💬 Declaraciones oficiales
"Este enfoque oportunista ilustra la continua evolución de APT29 en la ampliación de sus operaciones para expandir su red de recopilación de inteligencia", afirmó CJ Moses, director de seguridad de la información de Amazon.
"A pesar de los intentos del actor de migrar a una nueva infraestructura, nuestro equipo continuó rastreando e interrumpiendo sus operaciones", agregó Moses.
🔐 Recomendaciones para usuarios y organizaciones
- Estar alerta ante solicitudes sospechosas de códigos de autenticación.
- Verificar siempre la legitimidad de las páginas de inicio de sesión.
- Implementar autenticación multifactor (MFA) robusta y monitorear accesos inusuales.
- Mantener actualizados los sistemas y aplicaciones para protegerse contra vulnerabilidades conocidas.
📚 Referencias
¡Comparte esta alerta para ayudar a proteger a más usuarios y organizaciones! 🔐🛡️
Comentarios
Publicar un comentario