Antes de abrir archivos PDF adjuntos, revísalo por enlaces incrustados

Según un informe reciente de investigadores de Proofpoint, los hackers TA450 alineados con Irán, que también son conocidos como MuddyWater, Static Kitten y Mango Sandstorm, supuestamente utilizaron un señuelo de ingeniería social relacionado con pagos, es decir, enlaces incrustados en archivos PDF adjuntos en sus campañas de phishing.

La campaña de phishing comenzó el 7 de marzo de 2024 y continuó hasta el 11 de marzo de 2024. Durante este tiempo, TA450 envió correos electrónicos con archivos PDF adjuntos que contenían enlaces maliciosos. Este no es un método inusual para los hackers de TA450; anteriormente, solían agregar enlaces maliciosos directamente al cuerpo del correo electrónico.

Esta vez, evolucionaron y agregaron un paso adicional para hacerlo indetectable. Usaron enlaces maliciosos en este también, pero emplearon una técnica ligeramente diferente. Enviaron múltiples correos electrónicos de phishing con archivos PDF adjuntos maliciosos y otros enlaces incrustados a las mismas víctimas.

Los enlaces llevaban a varios sitios web de intercambio de archivos, como Onehub, TeraBox, Egnyte y Sync, y los investigadores sospechaban que el correo electrónico también había sido comprometido.

Supongamos que una víctima abre el archivo adjunto y hace clic en el enlace. En ese caso, se descargará el archivo comprimido Zip, que consiste en un MSI comprimido que instalaría AteraAgent, un software de administración remota que TA450 explota. Una vez instalado, el software otorga a TA450 acceso al dispositivo de la víctima, lo que lleva a un posible robo de datos y otros actos maliciosos.

Este método funcionó de manera efectiva en empleados israelíes objetivo de grandes organizaciones multinacionales, y el grupo de hackers ha estado atacando entidades israelíes específicamente desde al menos octubre de 2023 con el inicio de la guerra Israel-Hamas.

El éxito de la campaña se puede atribuir parcialmente al uso de cuentas de correo electrónico del remitente que se alinean con el contenido del señuelo, aumentando así la autenticidad de estos correos electrónicos de phishing.

Esta es la primera vez que el grupo ha utilizado este método, que puede marcarse como una escalada de la sofisticación de los ataques, haciéndolo bastante difícil de detectar para los usuarios promedio.

Si consideras el impacto, enviar múltiples correos electrónicos de phishing a los mismos objetivos aumenta la probabilidad de infiltración exitosa.

También surgieron otros nuevos ataques. Una campaña empleó un truco de Office para engañar a las víctimas, y Perception Point lo detectó; lee la historia completa aquí.

Con el aumento de riesgos y la creciente sofisticación de los ataques, nosotros, los usuarios, debemos ser siempre cautelosos al abrir correos electrónicos y documentos no solicitados. Y, en cuanto a los investigadores de seguridad, también deben estar más atentos a este tipo de ataques.

¿Cuáles son tus pensamientos sobre el asunto? Comparte tus opiniones con los lectores en la sección de comentarios a continuación.