Secuestro de cuenta de Facebook

29 de enero de 2025

Por Samantha Clarke, Hiwot Mendahun, Ankit Gupta y el equipo de investigación de amenazas de Mimecast

Flujo de campaña

Los investigadores de amenazas de Mimecast han estado supervisando recientemente una campaña de phishing que aprovecha Recruitee, un sistema de gestión de clientes (CMS) de contratación de terceros legítimo. Los autores de amenazas abusan de la plataforma para enviar correos electrónicos fraudulentos con ofertas de trabajo, engañando a los usuarios finales y eludiendo potencialmente los mecanismos de detección al aprovechar un servicio de confianza. Además, registran dominios similares y los incrustan en correos electrónicos generados por Recruitee, suplantando a marcas conocidas, aumentando así la credibilidad de sus estafas de phishing.

El señuelo de esta campaña gira en torno a una oportunidad de trabajo fraudulenta para un gestor de redes sociales, que incita a las víctimas a hacer clic en un enlace para solicitar el puesto. Tras una investigación más profunda, se descubrió que los dominios utilizados en las campañas se habían registrado recientemente, utilizando servicios como Porkbun y Hostinger, que son los preferidos por los autores de amenazas por su bajo coste, facilidad de uso y rápida configuración.

Una vez que el usuario hace clic en el enlace, se utilizan aleatoriamente CAPTCHAS y filtrado de IP para impedir la detección automática, antes de que se le redirija a una página de inicio de sesión.

Se les presenta una página de phishing bien estructurada con marcas y logotipos para añadir credibilidad. El objetivo principal de estas campañas es recopilar credenciales de Facebook y se indica al usuario que cree una cuenta a través de Facebook o que introduzca su dirección de correo electrónico o número de teléfono. Ambas rutas conducen al usuario a introducir las credenciales de Facebook.

Tras la introducción de las credenciales, se le solicita al usuario una autenticación de segundo factor para que el actor malicioso pueda tomar control de la cuenta de Facebook. Todos los detalles introducidos en estas páginas se transfieren automáticamente a los registradores de Telegram para asegurar la toma oportuna de control de las cuentas.

La actividad de la campaña muestra un pico significativo en septiembre y repunta de nuevo a finales de noviembre.

Tácticas, técnicas y procedimientos:

T1566.002: Phishing: Enlace de spear phishing
T1598.002: Phishing para obtener información
T1204.001: Ejecución de usuario: Enlace malicioso
T1596.002: Buscar en sitios web/dominios abiertos para recursos propiedad de la víctima (por ejemplo, crear dominios similares)
T1189: Compromiso por Drive-by (sitios de phishing con filtrado CAPTCHA/IP)
T1070.004: Eliminación de indicadores en el host: Exfiltración automatizada a través de bots de Telegram

Protección de Mimecast

Destinatarios:

Estados Unidos y Reino Unido, principalmente venta al por menor, medios de comunicación/publicación

IOC:

Asuntos:

URL:

Registros de Telegram:

Recomendaciones

• Asegúrese de tener una política de protección de URL configurada para proteger la organización.
• Busque en sus registros de protección de URL para determinar si sus usuarios han accedido a alguno de los servicios objeto de abuso. 
• Busque en sus registros de recepción de correo electrónico para determinar si alguno de los asuntos coincidentes se ha entregado a sus usuarios.
• Informe a los usuarios finales sobre la tendencia continua de utilizar herramientas legítimas en campañas maliciosas.