Una nueva y sofisticada herramienta de phishing denominada “Astaroth” ha surgido en las plataformas de ciberdelincuencia, que cuenta con métodos avanzados para eludir la autenticación de dos factores (2FA).
Anunciado por primera vez en enero de 2025, el kit emplea el secuestro de sesiones y la interceptación de credenciales en tiempo real para comprometer cuentas en Gmail, Yahoo, Office 365 y otras plataformas.
Según los investigadores de SlashNext, Astaroth opera a través de un proxy inverso de estilo evilginx, colocándose entre los usuarios y las páginas de inicio de sesión legítimas.
Esto le permite capturar nombres de usuario, contraseñas, tokens 2FA y cookies de sesión sin levantar sospechas. Una vez que los atacantes poseen estas cookies de sesión, pueden secuestrar sesiones autenticadas, evitando controles de seguridad adicionales.
La capacidad de interceptación en tiempo real de Astaroth lo diferencia de los kits de phishing tradicionales. Los kits convencionales capturan las credenciales de inicio de sesión, pero a menudo no logran comprometer las cuentas protegidas con 2FA. Astaroth, sin embargo, intercepta y reenvía tokens de forma dinámica, lo que permite a los atacantes obtener acceso tan pronto como se produce la autenticación.
Las características clave de Astaroth que destaca SlashNext incluyen:
Captura de credenciales y cookies de sesión en tiempo real
El uso de dominios de phishing certificados por SSL para imitar sitios seguros
Su compatibilidad con códigos basados en SMS, notificaciones push y aplicaciones de autenticación
El ataque comienza cuando las víctimas hacen clic en un enlace de phishing, que las redirige a un servidor malicioso que actúa como un proxy inverso.
Con los certificados SSL instalados, las víctimas no perciben amenazas de seguridad. Una vez que se ingresan las credenciales y los tokens, Astaroth captura los datos y alerta a los atacantes a través de Telegram o una interfaz de panel web.
“La disponibilidad de kits como Astaroth reduce la barrera de entrada para los ciberdelincuentes, lo que permite a los atacantes menos experimentados ejecutar ataques altamente efectivos”, dijo Patrick Tiquet, vicepresidente de seguridad y arquitectura en Keeper Security.
“Al aprovechar la interceptación de credenciales en tiempo real y los servidores proxy inversos para secuestrar sesiones autenticadas, los atacantes pueden eludir incluso las defensas de phishing más sólidas, incluida la autenticación multifactor (MFA)”.
La fase final implica el uso de cookies de sesión capturadas para replicar el entorno de inicio de sesión de la víctima. Esto evita por completo la 2FA, ya que la sesión ya está autenticada.
Más allá de su destreza técnica, Astaroth incluye características como alojamiento a prueba de balas y omisiones de reCAPTCHA. Los vendedores en Telegram y foros de delitos cibernéticos ofrecen paquetes de soporte de seis meses por $2000.
SlashNext dijo que las fuerzas del orden enfrentan desafíos para interrumpir la distribución de Astaroth debido a su alojamiento descentralizado y su dependencia de plataformas de comunicación cifradas.