Mecanismo de camuflaje innovador
La empresa de ciberseguridad Kela detectó una campaña de phishing sofisticada dirigida a instituciones financieras, en la cual los atacantes dependen de una técnica de engaño que impide que los equipos de seguridad y los proveedores de servicios de cierre detecten el contenido malicioso. Esta campaña se basa en el registro de direcciones IP de los visitantes; mientras que el primer visitante ve una página de inicio de sesión bancaria falsa, cualquier visitante posterior (incluidas las herramientas de escaneo de seguridad) se encuentra con una página que parece ser una "cuenta suspendida" de un proveedor de alojamiento web, lo que sugiere que el sitio ya ha sido cerrado.
¿Por qué importa esta noticia?
La gravedad de esta infraestructura radica en su capacidad para evadir las medidas de protección tradicionales. Cuando un equipo de seguridad o un proveedor de servicios denuncia un sitio sospechoso, por lo general lo vuelven a verificar para confirmar el cierre. En este caso, la página falsa se muestra a los investigadores, lo que lleva a clasificar el dominio como "inactivo" mientras el sitio continúa atacando a nuevas víctimas. Este táctico dificulta que los equipos de respuesta a incidentes detengan la campaña de manera efectiva, ya que la detección del contenido real requiere el uso de una nueva dirección IP para cada proceso de escaneo.
Detalles y alcance de la campaña
La campaña comenzó en mayo de 2026 y se expandió para incluir más de 300 dominios falsos, de los cuales 248 apuntaron a unas 189 instituciones financieras estadounidenses, con un enfoque especial en bancos regionales de tamaño mediano. Las investigaciones también demostraron que la campaña se extiende para incluir a víctimas en el Reino Unido, Australia y Nueva Zelanda. Los sitios web utilizan patrones de nomenclatura basados en palabras como "secure" o "authorize" seguidas del nombre del banco, junto con la aparición de una nueva categoría que utiliza nombres como "help-desk" y "live-support" para emular portales de soporte técnico.
Desafíos para hacerle frente
Kela identifica cuatro factores que hacen que esta infraestructura sea difícil de detener:
- Formato de nomenclatura simple: que se puede replicar fácilmente para cualquier institución financiera.
- Uso de Cloudflare: para ocultar la ubicación real del alojamiento.
- Técnica de camuflaje: mostrar la página de "suspendida" en la segunda visita para confundir a los evaluadores.
- Servidores compartidos: que garantizan la continuidad de la campaña incluso si se cierra un solo dominio.
Los resultados indican que la campaña apunta principalmente a credenciales de servicios bancarios comerciales y de tesorería, y utiliza scripts para evitar el uso de herramientas de desarrolladores en los navegadores, lo que aumenta la complejidad del proceso de análisis técnico del sitio web.