
Investigadores en ciberseguridad están alertando sobre campañas de phishing que abusan de Cloudflare Workers para servir sitios de phishing utilizados para recolectar credenciales de usuarios asociadas con Microsoft, Gmail, Yahoo! y cPanel Webmail.
El método de ataque, llamado phishing transparente o phishing de adversario-en-el-medio (AitM, por sus siglas en inglés), "usa Cloudflare Workers para actuar como un servidor proxy inverso de una página de inicio de sesión legítima, interceptando el tráfico entre la víctima y la página de inicio de sesión para capturar credenciales, cookies y tokens," explicó Jan Michael Alcantara, investigador de Netskope, en un informe.
La mayoría de las campañas de phishing alojadas en Cloudflare Workers durante los últimos 30 días han tenido como objetivo a víctimas en Asia, América del Norte y el sur de Europa, abarcando sectores de tecnología, servicios financieros y bancarios.
La firma de ciberseguridad informó que un aumento en el tráfico hacia páginas de phishing alojadas en Cloudflare Workers fue registrado por primera vez en el segundo trimestre de 2023, observando un pico en el número total de dominios distintos, que pasó de poco más de 1,000 en el cuarto trimestre de 2023 a casi 1,300 en el primer trimestre de 2024.
Las campañas de phishing utilizan una técnica llamada contrabando de HTML, que implica el uso de JavaScript malicioso para ensamblar la carga maliciosa en el lado del cliente, evitando así las protecciones de seguridad.
Esto también sirve para resaltar las estrategias sofisticadas que los actores de amenazas están utilizando para desplegar y ejecutar ataques en sistemas específicos.
Lo que diferencia este caso es que la carga maliciosa es una página de phishing, que se reconstruye y muestra al usuario en un navegador web.
La página de phishing, por su parte, insta a la víctima a iniciar sesión con Microsoft Outlook u Office 365 (ahora Microsoft 365) para ver un supuesto documento PDF. Si la víctima sigue las instrucciones, se utilizan páginas de inicio de sesión falsas alojadas en Cloudflare Workers para robar sus credenciales y códigos de autenticación multifactor (MFA).
"La página de phishing completa está creada utilizando una versión modificada de un kit de herramientas AitM de código abierto de Cloudflare", afirmó Michael Alcantara. "Una vez que la víctima accede a la página de inicio de sesión del atacante, éste recoge los metadatos de la solicitud web."
Comments