US-Focused CSuite Phishing Steals Microsoft 365 Sessions and Deploys RMM Tools for Remote Access
The Hacker News · 30 sept, 12:45
Una campaña de phishing dirigida a ejecutivos estadounidenses (CSuite) roba sesiones de Microsoft 365 e instala herramientas de acceso remoto como ScreenConnect o Action1 para comprometer tanto cuentas de identidad como endpoints. El análisis de ANY.RUN documenta 351 análisis de sandbox con el 51% de envíos desde EE. UU., afectando principalmente a tecnología, fabricación, gobierno y consultoría.
La campaña CSuite utiliza lures convincentes basados en Adobe, DocuSign, Zoom, Google Meet, Dropbox y Microsoft 365 para dirigirse a ejecutivos. Desde la página de phishing, los atacantes pueden seguir dos caminos: instalar herramientas legítimas de gestión remota (ScreenConnect, Action1) mediante archivos BAT/VBS para obtener acceso a endpoints, o redirigir a víctimas a flujos de robo de credenciales o device-code phishing para capturar sesiones y acceso a Microsoft 365.
El impacto es significativamente mayor que un phishing típico: los atacantes obtienen control tanto sobre cuentas empresariales como sobre dispositivos de empleados. Esto permite suplantación de identidad desde cuentas de confianza, manipulación de facturas, fraude de pagos, acceso remoto persistente y propagación interna comprometiendo a colegas y socios. La investigación identifica patrones recurrentes como la ruta /m/js/utils.js en páginas de phishing, permitiendo a analistas correlacionar incidentes relacionados y alimentar inteligencia de amenazas actualizada a controles de seguridad.
Puntos clave
- Campaña dirigida principalmente a EE. UU. (51%) pero presente en 18% India y otros países
- Afecta a sectores críticos: tecnología, fabricación, gobierno, consultoría
- Combina robo de sesiones Microsoft 365 con instalación de herramientas RMM para acceso remoto persistente
- Permite suplantación desde identidades de confianza, fraude financiero y propagación interna
- Detectar mediante pivoting en patrones recurrentes como /m/js/utils.js e integrar IOCs frescos en SIEM/EDR/firewalls
Figuras de la fuente
