US-Focused CSuite Phishing Steals Microsoft 365 Sessions and Deploys RMM Tools for Remote Access

In­ves­ti­ga­do­res de ANY.RUN han se­gui­do la pista a una cam­pa­ña de "phishing" de­no­mi­na­da CSui­te, cen­tra­da prin­ci­pal­men­te en Es­ta­dos Uni­dos, país que con­cen­tra la mitad de las mues­tras ana­li­za­das. Los sec­to­res que pre­sen­tan mayor ex­po­si­ción a esta ame­na­za in­clu­yen tec­no­lo­gía, ma­nu­fac­tu­ra, ad­mi­nis­tra­ción gu­ber­na­men­tal y con­sul­to­ría, re­gis­trán­do­se ade­más ac­ti­vi­dad en India, Fi­li­pi­nas, Aus­tra­lia, el Reino Unido y Ca­na­dá, entre otros lu­ga­res.

Esta mo­da­li­dad de ata­que co­mien­za uti­li­zan­do gan­chos de mar­cas cor­po­ra­ti­vas muy co­no­ci­das para luego de­ri­var en dos vías de ac­ción dis­tin­tas. Por un lado, se em­plean ins­ta­la­do­res o ar­chi­vos que des­plie­gan he­rra­mien­tas le­gí­ti­mas de ad­mi­nis­tra­ción re­mo­ta en los equi­pos de los em­plea­dos; por otro, se orien­ta al robo de cre­den­cia­les y se­sio­nes ac­ti­vas de Mi­cro­soft 365. Como re­sul­ta­do, los ata­can­tes lo­gran com­bi­nar el ac­ce­so a cuen­tas de usua­rio con el con­trol de los dis­po­si­ti­vos fi­na­les.

Las con­se­cuen­cias de esta cam­pa­ña pue­den es­ca­lar rá­pi­da­men­te hacia in­ci­den­tes co­mer­cia­les más am­plios, per­mi­tien­do a los ata­can­tes rea­li­zar apro­pia­ción de bu­zo­nes de co­rreo, frau­de fi­nan­cie­ro me­dian­te la al­te­ra­ción de fac­tu­ras, per­sis­ten­cia en el ac­ce­so re­mo­to, pro­pa­ga­ción in­ter­na y un mayor im­pac­to ge­ne­ral en la or­ga­ni­za­ción. Para hacer fren­te a estas ame­na­zas, los lí­de­res de se­gu­ri­dad deben prio­ri­zar una vi­si­bi­li­dad in­te­gral de la ca­de­na de ata­ques, co­nec­tar la in­te­li­gen­cia de ame­na­zas con los con­tro­les exis­ten­tes y fa­ci­li­tar re­por­tes es­truc­tu­ra­dos que agi­li­cen la labor de los ana­lis­tas.