Se ha informado de una nueva amenaza: páginas web de phishing de InDesign. Proteja sus credenciales de Microsoft 365

La Unidad de Investigación de Amenazas de Datto analizó recientemente una nueva técnica de phishing que nuestros socios MSP deben tener en cuenta. Si bien este tipo de ataque ya se ha observado en el mundo real, anteriormente no se había detectado como un intento de phishing. Esta técnica incluye dos elementos clave que, juntos, hacen que sea casi imposible de detectar para la mayoría de las soluciones de seguridad: el ataque aprovecha la reputación de hospedaje de Adobe InDesign y el enlace malicioso está oculto en un iframe. Ahora que se ha confirmado como un intento de phishing, podemos informar sobre esta técnica por primera vez y, con suerte, prevenir cualquier intento de ataque futuro. 

El ataque

Al igual que muchos otros ataques de phishing destinados a recopilar las credenciales de los usuarios de Microsoft, este ataque se envía por correo electrónico. El correo electrónico incita al usuario a hacer clic en un enlace para acceder a un documento compartido, que a su vez le lleva a una página web legítima de InDesign alojada en indd.adobe.com. A continuación se muestran un par de ejemplos de este tipo de páginas:

En las capturas de pantalla anteriores, los botones «Abrir documento» y «Ver PDF en línea» incluyen un enlace a un sitio de phishing que solicita las credenciales de Microsoft de la víctima para acceder al documento, que tiene el siguiente aspecto:

A diferencia de la primera página indd.adobe.com, que los atacantes pueden mantener en línea durante muchos días ya que no levanta sospechas, esta URL tiene que cambiar con frecuencia, ya que está alojada en un dominio menos reputado y puede identificarse como una página web de phishing.

La técnica de los atacantes

Para evadir las soluciones de seguridad del correo electrónico, los atacantes aprovecharon la plataforma legítima Adobe InDesign:

1. El dominio indd.adobe.com es un dominio público de confianza. Muchas soluciones de seguridad basadas en la reputación no analizarían las URL que conducen a este dominio o lo analizarían y concluirían que es seguro, ya que la URL indd.adobe.com es legítima, no indica nada sospechoso y no solicita credenciales. Alojar páginas web de phishing en dominios públicos de confianza como GoogleDrive, SharePoint, OneDrive y Dropbox es un truco conocido. Sin embargo, esta es la primera vez que se hace aprovechando el dominio InDesign.
2. La página web está diseñada con InDesign, que tiene algunas características específicas que los delincuentes aprovecharon para evadir las soluciones de seguridad. La característica más importante es el hecho de que los enlaces están ocultos en iframes en lugar de estar etiquetados como enlaces. La mayoría de los motores de detección de phishing están diseñados para escanear URL en html (donde las URL están etiquetadas como enlaces) y, por lo tanto, no identifican los enlaces en estas páginas web maliciosas de InDesign.
3. Otra ventaja de utilizar la plataforma InDesign es su amplia gama de funciones de diseño para ingeniería social, que ayudan a los atacantes a darle el aspecto que desean (lo más real posible) y engañar a las víctimas.
4. Además, los atacantes no incluyeron la URL maliciosa (la que solicita las credenciales del usuario) en el propio correo electrónico, sino que utilizaron la página indd.adobe.com como URL intermedia que parece segura para las soluciones de seguridad del correo electrónico.

Cómo protegerse

Las estafas de phishing son cada vez más sofisticadas y utilizan técnicas de evasión cada vez más avanzadas. En este caso, los atacantes aprovecharon la plataforma InDesign por partida triple: como host de confianza, como plataforma de diseño y para ocultar la URL maliciosa real a los escáneres. La combinación de estas tácticas es lo que la diferencia de otros ataques y lo que le permite evadir muchas soluciones de seguridad de correo electrónico.

Desafortunadamente, esto complica mucho la vida tanto a las organizaciones que buscan proteger a sus empleados y activos como a los proveedores de seguridad que les ayudan a hacerlo. Para protegerse de estas amenazas, así como de otras técnicas de phishing emergentes, las organizaciones deben asegurarse de utilizar una protección avanzada contra amenazas además de su seguridad básica para el correo electrónico, una solución de seguridad que pueda proteger contra cualquier ataque y técnica de phishing, incluso aquellos que aún no se conocen o no se utilizan habitualmente.

Ahí es donde Datto SaaS Defense puede ayudar. SaaS Defense —la protección avanzada contra amenazas de Datto para la suite Microsoft 365— protege contra el phishing, el ransomware y otros tipos de malware. La tecnología única e independiente de datos de SaaS Defense detecta amenazas de phishing desconocidas desde el primer contacto, sin importar los ataques anteriores ni la reputación del dominio. No depende de software de terceros, firmas ni informes de malware.

Mientras que la mayoría de las soluciones de seguridad requieren mucho cuidado y mantenimiento para funcionar de manera eficiente, SaaS Defense funciona de manera diferente. Otras soluciones necesitan primero detectar la amenaza en el entorno real para comprender cómo opera antes de que la solución pueda adaptarse para detenerla; SaaS Defense adopta un enfoque diferente al analizar cada aplicación en Microsoft 365. ¿Cómo se supone que debe funcionar esa aplicación? ¿Cuál es la definición de rutas de código correctas y seguras? Tratar esas condiciones como el estado correcto conocido. Si alguna vez detectamos algo que opera fuera de ese estado —ya sea un enlace potencialmente malicioso o cualquier otra ejecución de código fuera de lo normal—, identificamos esa amenaza y la bloqueamos para evitar que llegue al usuario final. ¿El resultado? Funciona para protegerlos a ustedes, nuestros socios, ya sea que se trate de amenazas conocidas o desconocidas, y no necesitan ocuparse de todo el mantenimiento, la configuración y la administración que requieren las soluciones tradicionales.

Para ver la solución SaaS Defense en acción y conocer cómo puede ayudarte a proteger a tus clientes contra las amenazas cibernéticas más sofisticadas y maliciosas, solicita una demostración con uno de nuestros representantes.