N0va: un kit de phishing que roba tokens de sesión y se salta el malware
La campaña suplanta Teams, SharePoint, DocuSign o Google Drive y lleva a la víctima por un flujo de autenticación real para quedarse con los tokens de acceso y entrar por SSO.
N0va es un kit de phishing que está atacando organizaciones de Norteamérica y Europa suplantando servicios corporativos de uso diario y abusando de flujos de autenticación legítimos. El objetivo no es dejar un ejecutable en el endpoint: es quedarse con la sesión. Los detalles técnicos y las cifras que vienen a continuación los publica ANY.RUN, que los presenta junto a las herramientas de su catálogo, así que conviene leerlos con esa cautela.
Del señuelo al SSO
Las páginas falsas imitan Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom y Adobe Sign. La diferencia con el phishing de toda la vida es que no se limitan a capturar usuario y contraseña en un formulario clonado: llevan a la víctima por un proceso de autenticación real, de modo que la interacción parece legítima de principio a fin.
Completada la autenticación, la campaña captura tokens de acceso y de refresco y abusa del intercambio de tokens o del registro de dispositivos para establecerse con acceso SSO. La cadena, según la descripción del proveedor, es esta: señuelo de marca conocida, device code phishing, autenticación legítima, captura de tokens, intercambio de tokens o registro de dispositivo, y acceso SSO a los recursos corporativos.
El resultado es acceso a correo, archivos y aplicaciones en la nube con una identidad válida. Para quien administra sistemas eso significa que no hay binario que cazar ni proceso que bloquear: la vigilancia se traslada a los registros de inicio de sesión, al inventario de dispositivos y a los consentimientos de aplicaciones.
Los sectores donde se ha observado actividad son gobierno, tecnología, consultoría y salud, siempre según el mismo proveedor. No hay atribución a un grupo concreto ni indicadores publicados más allá del patrón de URL.
Qué mirar
ANY.RUN propone agrupar la actividad por un patrón característico en la cadena de consulta, que reproduce así:
url:"/api/verification/init?session=*&flow=*prompt_profile="
La idea es salir del indicador aislado: si varias muestras comparten esa estructura de petición, probablemente sean la misma campaña y no incidentes sueltos. La compañía añade que en un caso reciente con un señuelo de Microsoft su sandbox emitió veredicto malicioso en 24 segundos y expuso la cadena completa dentro de la misma sesión, y que eso recorta el tiempo medio de resolución en 21 minutos por caso. Son cifras suyas, medidas con su propia herramienta.
Lo que deja claro este tipo de campaña es que la credencial que importa ya no es la contraseña. Un token de refresco robado mantiene el acceso aunque la víctima cambie sus claves, y el uso de flujos de dispositivo complica la vida a quien confía solo en el segundo factor. Toca revisar las políticas de registro de dispositivos y de consentimiento de aplicaciones, y asegurarse de que la respuesta a un incidente revoca sesiones y tokens, no solo cuentas.
