Ver el código de «Mirage2FA: Kit de Phishing con HTML Smuggling y Carga JavaScript Ofuscada para Robo de Credenciales de Microsoft 365 (2026)»

== Nombres Alternativos / Aliases ==

* Mirage2FA (Nombre del kit de phishing)
* HTML Smuggling Phishing Kit (Por la técnica de evasión)
* Microsoft 365 Credential Theft Campaign (Por el objetivo)
* cheacker[.]store Phishing (Por el dominio de infraestructura)
* MFA Bypass Phishing (Por la capacidad de evadir autenticación multifactor)

----

== Fecha de Detección / Actividad ==
{| class="wikitable"
!Fecha/Período
!Evento
|-
|16 de marzo de 2026
|Registro del dominio <code>cheacker[.]store</code> (sugiere campaña de corta duración)
|-
|Mediados de 2026
|Análisis de Fortra basado en adjunto HTML/JavaScript sospechoso, datos DNS y página de phishing de segunda etapa
|-
|26 de junio de 2026
|Publicación del informe de Help Net Security
|-
|Estado actual
|Activa (probablemente en evolución con nuevas variantes)
|}
----

== Resumen Ejecutivo ==
Investigadores de Fortra han identificado un kit de phishing denominado Mirage2FA que combina HTML smuggling (contrabando HTML) con cargadores JavaScript ofuscados para entregar páginas de inicio de sesión falsas de Microsoft 365 y robar credenciales durante las solicitudes de autenticación multifactor (MFA) .

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Vector de entrega
|Adjunto HTML/JavaScript enviado por correo electrónico
|-
|Técnica principal
|HTML smuggling + carga JavaScript ofuscada en etapas
|-
|Objetivo
|Cuentas de Microsoft 365
|-
|Capacidad MFA
|Simula autenticadores, coincidencia numérica, SMS (evasión de MFA)
|-
|Dominio C2
|<code>cheacker[.]store</code>, <code>user.cheacker[.]store</code>
|-
|Registro de dominio
|16 de marzo de 2026 (campaña de corta duración)
|-
|Objetivo final
|Toma de cuentas de Microsoft 365 (correo, archivos, Teams, SharePoint, SaaS)
|}

=== El kit en acción ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Entrega
|Correo con temática empresarial (documentos seguros, servicios de remesas, facturación automatizada, solicitudes de pago)
|-
|2. Carga inicial
|Adjunto HTML con JavaScript ofuscado que oculta su comportamiento de la inspección estática
|-
|3. Decodificación
|Código oculto decodificado mediante Base64, XOR (0xAD), TextDecoder y eval()
|-
|4. Carga de segunda etapa
|Carga de script desde <code>user.cheacker[.]store</code>
|-
|5. Página de phishing
|Página que imita el proceso de inicio de sesión de Microsoft 365 con CAPTCHA falso y campos de credenciales
|-
|6. Captura MFA
|Solicitudes de autenticador, coincidencia numérica, SMS
|-
|7. Toma de cuenta
|Acceso a correo, archivos, Teams, SharePoint, recursos SaaS conectados
|}
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing: Spearphishing Attachment (T1566.001)
|Correos con adjuntos HTML maliciosos
|-
|Initial Access (TA0001)
|Phishing: Spearphishing Link (T1566.002)
|Enlaces a páginas de phishing de segunda etapa
|-
|Execution (TA0002)
|User Execution: Malicious Link (T1204.001)
|Usuario abre el adjunto HTML o hace clic en enlace
|-
|Execution (TA0002)
|Command and Scripting Interpreter: JavaScript (T1059.007)
|Ejecución de JavaScript ofuscado
|-
|Defense Evasion (TA0005)
|HTML Smuggling
|Adjunto HTML que oculta comportamiento de inspección estática
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Ofuscación con Base64, XOR, eval(), TextDecoder
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Página de phishing con marca de Microsoft
|-
|Credential Access (TA0006)
|Credentials from Password Stores (T1555)
|Captura de credenciales de Microsoft 365
|-
|Credential Access (TA0006)
|Multi-Factor Authentication Interception
|Captura de MFA (autenticador, coincidencia numérica, SMS)
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Acceso a correo, archivos, Teams, SharePoint
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Robo de datos a través de la sesión autenticada
|-
|Impact (TA0040)
|Account Access Removal (T1531)
|Toma de control de cuentas de Microsoft 365
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de objetivos de Microsoft 365 (empresas, organizaciones)
|-
|2. Armamento
|Creación de adjunto HTML con JavaScript ofuscado y página de phishing de segunda etapa
|-
|3. Entrega
|Correos con temática empresarial (documentos seguros, facturación, pagos)
|-
|4. Explotación
|Usuario abre el adjunto HTML, ejecutando JavaScript ofuscado
|-
|5. Descarga
|JavaScript decodifica y carga el script de segunda etapa desde <code>user.cheacker[.]store</code>
|-
|6. Ingeniería Social
|Página de phishing imita inicio de sesión de Microsoft 365 con CAPTCHA falso
|-
|7. Captura
|Usuario ingresa credenciales y MFA (autenticador, número coincidente, SMS)
|-
|8. Toma de cuenta
|Atacante accede a correo, archivos, Teams, SharePoint, SaaS conectados
|}
----

== Infraestructura Utilizada ==

=== Dominios de phishing ===
{| class="wikitable"
!Dominio
!Propósito
!Fecha de registro
|-
|<code>cheacker[.]store</code>
|Infraestructura principal de phishing
|16 de marzo de 2026
|-
|<code>user.cheacker[.]store</code>
|Carga de script de segunda etapa
|(subdominio)
|}

=== Técnicas de ofuscación ===
{| class="wikitable"
!Técnica
!Descripción
|-
|Base64
|Codificación de datos ocultos
|-
|XOR (0xAD)
|Cifrado simple de código JavaScript
|-
|TextDecoder
|Decodificación de texto codificado
|-
|eval()
|Ejecución de código decodificado
|-
|HTML smuggling
|Ocultación de comportamiento de inspección estática
|}

=== Temáticas de señuelo ===
{| class="wikitable"
!Tema
!Descripción
|-
|Documentos seguros
|Documentos protegidos de Microsoft
|-
|Servicios de remesas
|Transferencias de dinero
|-
|Facturación automatizada
|Facturas automáticas
|-
|Solicitudes de pago
|Peticiones de pago
|}
----

== Detalle Técnico de la Ofuscación ==

=== Proceso de decodificación de Mirage2FA ===
{| class="wikitable"
!Paso
!Descripción
|-
|1. HTML inicial
|Adjunto con JavaScript ofuscado que oculta su comportamiento de la inspección estática
|-
|2. Decodificación
|Código oculto decodificado mediante Base64, XOR (0xAD), TextDecoder y eval()
|-
|3. Carga de segunda etapa
|Código decodificado carga script desde <code>user.cheacker[.]store</code>
|-
|4. Página de phishing
|Script de segunda etapa entrega la página falsa de inicio de sesión de Microsoft 365
|}

=== Página de phishing ===
{| class="wikitable"
!Componente
!Descripción
|-
|CAPTCHA falso
|Simula verificación de seguridad para dar legitimidad
|-
|Campos de credenciales
|Captura de nombre de usuario y contraseña
|-
|Solicitudes MFA
|Autenticador (código), coincidencia numérica, SMS
|}
----

== Capacidades de Evasión de MFA ==

=== Métodos MFA soportados ===
{| class="wikitable"
!Método
!Descripción
|-
|Authenticator App
|Solicitud de código de autenticador
|-
|Number Matching
|Coincidencia de números en pantalla
|-
|SMS Verification
|Verificación por mensaje de texto
|}
<blockquote>''"La página de phishing de segunda etapa imita el proceso de inicio de sesión de Microsoft 365 con una pantalla CAPTCHA falsa, campos de credenciales y solicitudes para varios métodos MFA, incluyendo aplicaciones autenticadoras y coincidencia numérica. Los investigadores también encontraron código que soporta verificación SMS, aunque no confirmaron ese flujo durante las pruebas."''</blockquote>

=== Resultado final ===
<blockquote>''"El objetivo probable es la toma de cuentas de Microsoft 365. Si un usuario enviaba credenciales, el atacante podía acceder a correo, archivos, mensajes de Teams, contenido de SharePoint y otros recursos SaaS conectados."''</blockquote>
----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|Objetivo principal
|Usuarios de Microsoft 365
|-
|Sector
|Empresarial (temáticas de documentos seguros, facturación, pagos)
|-
|Distribución geográfica
|Global (campaña basada en correo electrónico)
|-
|Vector de entrega
|Correos electrónicos con adjuntos HTML
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Capacidad de evasión
|ALTA
|HTML smuggling + ofuscación JavaScript
|-
|Detección por antivirus
|BAJA
|Adjuntos HTML aparentemente inofensivos
|-
|Detección por correo
|BAJA
|Sin enlaces maliciosos directos en el correo
|-
|Evasión de MFA
|ALTA
|Captura de credenciales y MFA
|-
|Persistencia
|ALTA
|Tokens de acceso y refresco permiten acceso continuado
|}

=== Consecuencias para la víctima ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Toma de cuenta de Microsoft 365
|Crítica
|Acceso a correo, archivos, Teams, SharePoint
|-
|Acceso a SaaS conectados
|Crítica
|Aplicaciones de terceros conectadas a Microsoft 365
|-
|Robo de datos
|Alta
|Correos, documentos, comunicaciones de Teams
|-
|Suplantación de identidad
|Alta
|El atacante puede hacerse pasar por la víctima
|-
|Acceso continuado
|Alta
|Tokens de refresco permiten acceso después del cambio de contraseña
|}
----

== Detección y Respuesta ==

=== Para usuarios ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|No abrir adjuntos HTML sospechosos
|CRÍTICA
|Especialmente de remitentes desconocidos
|-
|Verificar URLs antes de ingresar credenciales
|CRÍTICA
|Confirmar que el dominio es legítimo (microsoft.com)
|-
|Desconfiar de CAPTCHAS en páginas de inicio de sesión
|ALTA
|Los CAPTCHAS falsos son comunes en phishing
|-
|Reportar correos sospechosos
|ALTA
|Al equipo de seguridad
|}

=== Para organizaciones ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Bloquear adjuntos HTML
|ALTA
|Considerar bloquear adjuntos .html/.htm de remitentes externos
|-
|Monitorear inicios de sesión anómalos
|CRÍTICA
|Ubicaciones, dispositivos, horarios inusuales
|-
|Revisar tokens OAuth
|CRÍTICA
|Buscar aplicaciones OAuth no autorizadas
|-
|Revisar reglas de buzón
|ALTA
|Buscar reglas de reenvío no autorizadas
|-
|Revisar sesiones activas
|ALTA
|Revocar sesiones sospechosas
|-
|Revisar métodos MFA
|ALTA
|Buscar métodos MFA añadidos no autorizados
|}

=== Pasos de remediación (según Fortra) ===
<blockquote>''"Cualquier usuario que abrió la página de phishing o envió información debe restablecer su contraseña, revocar sesiones activas y tokens de refresco, revisar métodos MFA, inspeccionar reglas de buzón y verificar concesiones OAuth."''</blockquote>
{| class="wikitable"
!Paso
!Descripción
|-
|1. Reset de contraseña
|Cambiar contraseña de Microsoft 365
|-
|2. Revocar sesiones activas
|Forzar cierre de sesión en todos los dispositivos
|-
|3. Revocar tokens de refresco
|Invalidar tokens OAuth
|-
|4. Revisar métodos MFA
|Eliminar métodos MFA no autorizados
|-
|5. Inspeccionar reglas de buzón
|Buscar reglas de reenvío no autorizadas
|-
|6. Verificar concesiones OAuth
|Revocar aplicaciones OAuth no autorizadas
|}

=== Comandos de verificación (Azure AD/Microsoft 365) ===
powershell
 # Revisar inicios de sesión anómalos
 Get-AzureADAuditSignInLogs -All $true | Where-Object {
     $_.Location -ne "País habitual" -or $_.IsInteractive -eq $false
 }
 
 # Revisar aplicaciones OAuth
 Get-AzureADServicePrincipal -All $true | Where-Object {
     $_.DisplayName -match "Desconocido|Sospechoso"
 }
 
 # Revisar reglas de buzón
 Get-InboxRule -Mailbox usuario@empresa.com
----

== Comparativa: Kits de Phishing de Microsoft 365 (2026) ==
{| class="wikitable"
!Kit
!Técnica principal
!Capacidad MFA
!Fecha
|-
|Mirage2FA
|HTML smuggling + JavaScript ofuscado
|Authenticator, number matching, SMS
|2026
|-
|Kali365
|Device code phishing (OAuth token theft)
|Bypass MFA (tokens)
|Abril 2026
|-
|EvilTokens
|PhaaS en Telegram
|OAuth tokens
|Mediados 2026
|}
----

== Opiniones de Expertos ==
<blockquote>''"En el ataque, el payload HTML inicial utiliza JavaScript ofuscado para ocultar su comportamiento de la inspección estática, luego decodifica y ejecuta código oculto utilizando Base64, XOR con 0xAD, TextDecoder y eval(). Ese código carga un script de segunda etapa desde la infraestructura controlada por el atacante en user.cheacker[.]store."''

— Fortra</blockquote><blockquote>''"El objetivo probable es la toma de cuentas de Microsoft 365. Si un usuario enviaba credenciales, el atacante podía acceder a correo, archivos, mensajes de Teams, contenido de SharePoint y otros recursos SaaS conectados."''

— Fortra</blockquote><blockquote>''"Cualquier usuario que abrió la página de phishing o envió información debe restablecer su contraseña, revocar sesiones activas y tokens de refresco, revisar métodos MFA, inspeccionar reglas de buzón y verificar concesiones OAuth."''

— Fortra</blockquote>
----

== Referencias y Fuentes ==

# Help Net Security. (2026, 26 de junio). ''Mirage2FA phishing kit uses HTML smuggling to steal Microsoft 365 credentials''.
# Fortra. (2026, junio). ''Mirage2FA Phishing Kit Analysis''.
# FBI. (2026). ''Kali365 Phishing-as-a-Service Warning''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-26
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en el informe de Fortra y el artículo de Help Net Security
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Dominios maliciosos ===
{| class="wikitable"
!Dominio
!Propósito
!Fecha de registro
|-
|<code>cheacker[.]store</code>
|Infraestructura principal de phishing
|16 de marzo de 2026
|-
|<code>user.cheacker[.]store</code>
|Carga de script de segunda etapa
|(subdominio)
|}

=== Adjuntos maliciosos ===
{| class="wikitable"
!Tipo
!Descripción
|-
|HTML
|Adjunto con JavaScript ofuscado
|-
|JavaScript
|Código ofuscado en el HTML
|}

=== Patrones de ofuscación ===
{| class="wikitable"
!Técnica
!Propósito
|-
|Base64
|Codificación de datos ocultos
|-
|XOR (0xAD)
|Cifrado simple de JavaScript
|-
|TextDecoder
|Decodificación de texto codificado
|-
|eval()
|Ejecución de código decodificado
|}

=== Comportamiento anómalo a monitorear ===
{| class="wikitable"
!Comportamiento
!Dónde buscar
|-
|Apertura de adjuntos HTML
|Logs de correo, logs de navegador
|-
|Tráfico a cheacker[.]store
|Logs de proxy web, DNS
|-
|Inicios de sesión de Microsoft 365 desde ubicaciones inusuales
|Logs de Azure AD
|-
|Inicios de sesión desde navegadores no habituales
|Logs de Azure AD
|-
|Reglas de buzón creadas recientemente
|PowerShell, Exchange Admin Center
|-
|Aplicaciones OAuth nuevas
|Azure AD, Enterprise Applications
|}
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿El kit Mirage2FA está siendo vendido como PhaaS?
|No especificado
|-
|¿Cuántas víctimas han sido afectadas?
|No especificado
|-
|¿El dominio cheacker[.]store ha sido tomado?
|No especificado
|-
|¿Hay variantes de Mirage2FA dirigidas a otros servicios?
|No especificado
|-
|¿Los atacantes están utilizando las cuentas comprometidas para más ataques?
|No especificado
|}
----

== Etiquetas / Categorías ==
text
 mirage2fa phishing-kit html-smuggling javascript-obfuscation microsoft-365-phishing mfa-bypass credential-theft business-themed-lures cheacker-store evil-tokens kali365 device-code-phishing phaaas-oauth-token-theft