El ataque Evilginx AiTM captura credenciales de Microsoft, tokens MFA y sesiones autenticadas

Una creciente ola de ataques de phishing dirigidos está poniendo a los usuarios de Microsoft en grave riesgo, y la herramienta detrás de esto es más sofisticada de lo que la mayoría de la gente cree. Los investigadores de seguridad han documentado cómo Evilginx, un marco de trabajo de adversario intermedio, se utiliza para interceptar silenciosamente las sesiones de inicio de sesión de Microsoft, robando nombres de usuario, contraseñas, tokens MFA y cookies de sesión autenticadas, todo a la vez.

Evilginx funciona colocándose entre el usuario y la página de inicio de sesión real de Microsoft, actuando como un relé transparente que la víctima nunca sospecha. Evilginx AITM (Fuente: NetSPI).

Los analistas de NetSPI documentaron que esta técnica se puso en práctica contra un equipo ejecutivo corporativo real. NetSPI dijo en un informe compartido con Cyber ​​Security News (CSN) que los investigadores registraron un dominio similar y apuntaron un servidor Evilginx directamente al flujo de inicio de sesión de Microsoft del cliente. Una vez que un objetivo hacía clic en el enlace de phishing y completaba su inicio de sesión en Microsoft, incluida la aprobación del mensaje de MFA, Evilginx ya había capturado la cookie de sesión autenticada.

Cuando una víctima visita una URL de phishing, se le muestra una réplica exacta de la página de inicio de sesión real de Microsoft, porque en realidad es la página real que se refleja en vivo. El ataque Evilginx AiTM captura credenciales de Microsoft, tokens MFA y sesiones autenticadas apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗