Hackers rusos abusan del enlace de dispositivos OAuth y WhatsApp para secuestrar cuentas de alto valor

Los presuntos grupos rusos de ciberespionaje están convirtiendo cada vez más funciones ordinarias de inicio de sesión y vinculación de dispositivos en herramientas para el control de cuentas. Los analistas de Google Cloud identificaron tres grupos distintos, identificados como UNC6293, UNC7005 y UNC5976, que utilizan phishing, abuso de OAuth, robo de contraseñas de aplicaciones, señuelos de códigos de dispositivos y malware.

UNC6293 solicita un "código de verificación" en una página de phishing (Fuente: Google Cloud) Google evalúa con alta confianza que los clústeres tienen un nexo ruso, basándose en patrones de orientación, temas de phishing y métodos operativos. Eso hace que la estafa parezca más segura que una página de inicio de sesión falsa tradicional y crea un punto ciego para las organizaciones que monitorean principalmente cuentas corporativas. La reciente actividad de phishing de códigos de dispositivos rusos ya ha demostrado cómo los atacantes pueden hacer un mal uso de los flujos de trabajo de inicio de sesión legítimos para capturar tokens de acceso. Los piratas informáticos rusos abusan de la vinculación de dispositivos OAuth y WhatsApp UNC7005, también conocido como STORM-2945, ha utilizado operaciones de phishing cuidadosamente seleccionadas contra personas de interés para el estado ruso.

Página de inicio de ingeniería social (Fuente: Google Cloud) Si el objetivo aprobaba la solicitud en WhatsApp, el atacante obtenía una sesión vinculada capaz de acceder a los mensajes de la víctima. Las víctimas que seleccionaron "Iniciar sesión con Google" fueron dirigidas a una página de inicio de sesión real antes de ser redirigidas a un proyecto en la nube no verificado y controlado por un atacante diseñado para recopilar tokens de autenticación.

Consultar publicación original ↗