Una campaña activa de un actor de amenazas potencialmente vinculado a Rusia está apuntando a cuentas de Microsoft 365 de personas en organizaciones de interés mediante phishing de código de dispositivo.
Los objetivos están en los sectores de gobierno, ONG, servicios de TI y tecnología, defensa, telecomunicaciones, salud y energía/petróleo y gas en Europa, América del Norte, África y Oriente Medio.
El Centro de Inteligencia de Amenazas de Microsoft rastrea a los actores de amenazas detrás de la campaña de phishing de código de dispositivo como ‘Storm-237’. Según los intereses, la victimología y la técnica comercial, los investigadores tienen una confianza media en que la actividad está asociada con una operación de un estado-nación que se alinea con los intereses de Rusia.
Los dispositivos con entrada restringida (aquellos que no admiten teclado o navegador, como los televisores inteligentes y algunos IoT) dependen de un flujo de autenticación de código para permitir que los usuarios inicien sesión en una aplicación ingresando un código de autorización en un dispositivo separado, como un teléfono inteligente o una computadora.
Los investigadores de Microsoft descubrieron que, desde agosto pasado, Storm-2372 abusa de este flujo de autenticación al engañar a los usuarios para que ingresen códigos de dispositivo generados por el atacante en páginas de inicio de sesión legítimas.
Los agentes inician el ataque después de establecer primero una conexión con el objetivo «haciéndose pasar falsamente por una persona prominente relevante para el objetivo» en plataformas de mensajería como WhatsApp, Signal y Microsoft Teams.