Barracuda avisa de páginas de phishing que solo existen dentro del navegador

Barracuda ha documentado una campaña de phishing por correo en la que no hay página web que bloquear. El gancho es una página falsa que se genera dentro del navegador de la víctima, en el momento, y desaparece al cerrar la sesión. Sin dominio sospechoso, sin URL persistente y con servicios legítimos de Microsoft de por medio, el ataque deja sin argumentos a las herramientas que buscan destinos maliciosos conocidos.

La secuencia empieza con un correo que simula venir de DocuSign y lleva adjunta una invitación de calendario. No parece malicioso porque apunta a un endpoint legítimo de Microsoft OAuth; está ahí solo para dar apariencia de normalidad. Desde ahí, una redirección preparada lleva al usuario a Microsoft Teams, que carga un recurso externo alojado en cdn.bloom[.]io. El navegador convierte ese contenido en una blob URL, una dirección temporal que apunta a datos en memoria local y no a un servidor público. Lo que aparece en pantalla es la página de phishing, dibujada en el propio equipo.

Service worker, iframe y control en remoto

Una vez cargada, esa página registra un service worker, el componente del navegador que puede gestionar peticiones de red y el comportamiento de la página en segundo plano. Parte del flujo se ejecuta además dentro de un iframe en sandbox. Entre unas cosas y otras, los operadores controlan la navegación y coordinan la experiencia sin necesitar una web de phishing convencional.

El resultado es que no hay página que bloquear ni URL persistente que los escáneres puedan recuperar, analizar o añadir a una lista negra por adelantado. El recorrido abusa de servicios de Microsoft en varios puntos, así que tampoco canta por el lado del dominio, y el archivo de invitación de calendario hace que el mensaje parezca una comunicación de trabajo más. El flujo recibe instrucciones de infraestructura de los atacantes mediante mecanismos de mensajería del propio navegador y, como no depende de redirecciones fijas, estos pueden cambiar destinos y comportamiento sobre la marcha. Es una flexibilidad que las páginas estáticas no tienen.

"Esta campaña demuestra cómo el phishing evoluciona más allá de las webs falsas y los dominios sospechosos, eliminando muchos de los indicadores en los que los equipos de seguridad se han apoyado tradicionalmente para detectarlo", ha señalado Ashitosh Deshnur, analista asociado de amenazas en Barracuda.

Vigilancia en el endpoint, no en la pasarela

Para Muhammad Yahya Patel, vCISO y asesor de ciberseguridad de Huntress para EMEA, el enfoque de detección basado en escanear URLs conocidas ya no alcanza. "Las herramientas tradicionales de seguridad de correo, los escáneres de URL y los filtros web buscan destinos maliciosos. Este enfoque elimina el destino por completo: la superficie de ataque existe solo dentro del navegador del objetivo mientras dura la sesión, y después se desvanece", ha explicado. Según Patel, la supervisión tiene que moverse hacia el comportamiento del navegador: creación de URLs en contextos poco habituales o actividad anómala justo después de interacciones con invitaciones de calendario. Son patrones detectables, dice, pero exigen visibilidad en el endpoint en lugar de inspección en la red o en la pasarela de correo.

Ese es el punto incómodo para quien administra defensas: buena parte del correo corporativo legítimo llega con invitaciones de calendario y pasa por Microsoft 365, así que bloquear el patrón completo no es una opción. El análisis completo de Barracuda está disponible en el blog de la compañía, con la cadena de redirecciones y los indicadores que sí se pueden vigilar.