Google Calendar phishing campaign hijacks sessions, bypasses MFA

Un equi­po de in­ves­ti­ga­ción de ame­na­zas de­tec­tó y ha es­ta­do si­guien­do una ope­ra­ción de phishing en­fo­ca­da en robar se­sio­nes ac­ti­vas de usua­rios cor­po­ra­ti­vos. Los men­sa­jes ma­li­cio­sos se dis­tri­bu­yen me­dian­te in­vi­ta­cio­nes de ca­len­da­rio que si­mu­lan asun­tos co­ti­dia­nos y son en­via­dos fre­cuen­te­men­te desde or­ga­ni­za­cio­nes con las que el des­ti­na­ta­rio ya ha man­te­ni­do co­rres­pon­den­cia pre­via, lo­gran­do que los sis­te­mas de repu­tación y los en­la­ces ini­cia­les mues­tren apa­rien­cias to­tal­men­te le­gí­ti­mas y con­fia­bles.

Para lo­grar el robo de cre­den­cia­les y la elu­sión de los fac­to­res de au­ten­ti­ca­ción múl­ti­ple, los ata­can­tes em­plean un proxy in­ver­so en tiem­po real que se ubica fren­te a la pá­gi­na ge­nui­na de ini­cio de se­sión. Esto per­mi­te re­trans­mi­tir có­di­gos y apro­ba­cio­nes hacia la pla­ta­for­ma ofi­cial mien­tras el ope­ra­dor ob­ser­va todo el pro­ce­so, uti­li­zan­do una es­truc­tu­ra téc­ni­ca que ca­re­ce de si­tios es­tá­ti­cos para es­ca­near y que re­sul­ta eco­nó­mi­ca y rá­pi­da de re­em­pla­zar por los res­pon­sa­bles.

Como res­pues­ta a esta cam­pa­ña, la or­ga­ni­za­ción de se­gu­ri­dad lanzó una ini­cia­ti­va para ata­car di­rec­ta­men­te la in­fra­es­truc­tu­ra ma­li­cio­sa me­dian­te re­por­tes de abuso, lo­gran­do la baja de do­mi­nios y la exhi­bi­ción de ad­ver­ten­cias a los usua­rios. Aun­que la ac­ti­vi­dad ac­tual de este grupo pa­re­ce ha­ber­se dis­per­sa­do y los ata­can­tes han ro­ta­do hacia temas re­la­cio­na­dos con com­par­tir do­cu­men­tos, se ad­vier­te que ya dis­po­nen de com­po­nen­tes pre­pa­ra­dos para ex­pan­dir sus ata­ques hacia otros en­tor­nos de au­ten­ti­ca­ción.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos de la ope­ra­ción o sus po­si­bles au­to­res más allá de lo men­cio­na­do.