Operation CloudMimic

Operation CloudMimic (Identificador interno asignado para esta campaña de credential harvesting y captura biométrica).

Nombres Alternativos / Aliases

Técnica principal: Credential Harvesting con Captura Biométrica.
Infraestructura utilizada: Google Sites (phishing), Replit (backend C2 - spock.replit.dev).
Campañas relacionadas: Ataques de credential harvesting de alta sofisticación contra sector gubernamental en Latinoamérica.

Fecha de Detección / Actividad

Fechas de actividad: Período reciente (sin fechas específicas publicadas).
Fecha de detección/investigación pública: Análisis de CTI actual (2025/2026).

Actor de Amenaza (Atribución)

Actor: Grupo cibercriminal organizado de alta sofisticación (no atribuido a APT específico).
Nivel de confianza: Medio, basado en la sofisticación de TTPs y selección de objetivos.

Resumen Ejecutivo

Se ha identificado una campaña de credential harvesting de alta sofisticación dirigida específicamente a entidades gubernamentales, particularmente en Colombia. Los atacantes emplean ingeniería social avanzada mediante correos electrónicos que simulan comunicaciones oficiales urgentes, exigiendo "validación obligatoria" de cuentas institucionales. La campaña se distingue por su uso innovador de infraestructura legítima abusada (Google Sites para phishing inicial y Replit para backend malicioso) para evadir detecciones tradicionales. Además del robo de credenciales convencional, la operación escala a la captura biométrica mediante selfies, comprometiendo profundamente la identidad digital de los funcionarios y facilitando potencialmente el bypass de sistemas de autenticación multifactor (MFA) y procesos KYC.

Vectores de Ataque

Acceso inicial: Spearphishing mediante correos electrónicos que suplantan entidades gubernamentales con enlaces maliciosos.
Entrega de payload: Enlace a página de phishing alojada en Google Sites (aprovechando reputación legítima).
Exfiltración de datos: Backend en Replit (spock.replit.dev) que captura credenciales y selfies biométricas.
Persistencia: Aplicación web serverless en plataforma cloud que actúa como C2 efímero.

Técnicas, Tácticas y Procedimientos (TTPs)

Mapeo MITRE ATT&CK:

TA0043 - Reconocimiento: T1589.002 (Recopilación de direcciones de correo de víctimas).
TA0001 - Acceso Inicial: T1566.001 (Spearphishing Link).
TA0002 - Ejecución: T1204.001 (Ejecución por Usuario - Enlace Malicioso).
TA0003 - Persistencia: T1505.003 (Componente de Software en Servidor - Web Shell).
TA0005 - Evasión de Defensa: T1564.004 (Ocultación de Artefactos - Atributos NTFS).
TA0010 - Exfiltración: T1567.001 (Exfiltración a Repositorio de Código).

Procedimientos específicos:

Creación de páginas de phishing en Google Sites que imitan portales legítimos (Outlook).
Configuración de headers x-frame-options: DENY para impedir análisis en sandboxes.
Redirección en cadena: Google Sites → Backend Replit → C2 final.
Captura biométrica mediante activación de cámara web sin consentimiento explícito.

Flujo de Ataque (Kill Chain)

Reconocimiento: Recopilación de direcciones de correo institucionales gubernamentales.
Armamento: Desarrollo de páginas de phishing en Google Sites y backend en Replit.
Entrega: Envío de correos de spearphishing con enlaces maliciosos.
Explotación: Usuario hace clic en enlace que dirige a Google Sites falsificado.
Instalación: Redirección a backend en Replit que aloja formularios de captura.
Comando y Control (C2): Comunicación con endpoint en Replit para exfiltración.
Acciones en el Objetivo: Captura de credenciales → Captura de selfie biométrica → Exfiltración de datos.

Infraestructura Utilizada (IOCs)

Dominios de phishing: Páginas personalizadas en Google Sites (dominios de google.com).
Backend C2: spock.replit.dev (o subdominios similares en replit.dev).
Patrones de red: Tráfico a aplicaciones serverless en Replit seguido de redirecciones.
Headers específicos: x-frame-options: DENY en páginas de phishing.

Objetivos y Sectores Atacados

Sector principal: Gubernamental.
Ubicación geográfica: Colombia (con potencial expansión a Latinoamérica).
Perfil de víctimas: Funcionarios públicos con acceso a sistemas institucionales.
Contexto estratégico: Aprovechamiento de la confianza en comunicaciones oficiales y urgencia administrativa para maximizar tasa de éxito.

Impacto y Riesgo

Impacto Operacional: Compromiso de cuentas institucionales, potencial acceso a sistemas gubernamentales sensibles.
Impacto a Largo Plazo: Robo de datos biométricos faciales inmutables, facilitando suplantación de identidad persistente.
Riesgo de Escalamiento: Posible bypass de sistemas MFA y procesos KYC en múltiples sectores.
Nivel de Riesgo General: Alto a Crítico, por la combinación de credential harvesting y captura biométrica.

Indicadores de Compromiso (IOCs)

Comportamientos sospechosos:
- Acceso a páginas de Google Sites con formularios de "validación de cuenta" no oficiales.
- Navegador accediendo a cámara web inmediatamente después de enviar credenciales.
- Conexiones a subdominios de replit.dev desde equipos corporativos.
- Solicitudes HTTP POST con datos de credenciales y archivos de imagen a dominios cloud no autorizados.
Logs de seguridad:
- Eventos de navegador web accediendo a hardware de cámara sin interacción explícita del usuario.
- Redirecciones HTTP 302/303 de Google Sites a dominios de Replit.
- Descargas de páginas con x-frame-options: DENY desde dominios legítimos.

DOMAIN	spock.replit.dev
SHA-256	a852403abde1b208428253c4b1dfb5924e403240a727f81df1dd8d493b646552
URL	https://sites.google.com/view/micrologi/p%C3%A1gina-principal
URL	https://6f69dfbc-3350-464e-8d209f23fd9993fa-0025snioublf7id.spock.replit.dev/verificacion.html

Recomendaciones de Mitigación

Segmentación y Filtrado de Red:
- Bloquear acceso a subdominios de Replit (*.replit.dev) desde redes corporativas, excepto whitelist explícita.
- Implementar inspección SSL/TLS en proxies perimetrales para analizar tráfico a Google Sites.
Protección Endpoint:
- Configurar políticas para restringir acceso a cámara web desde navegadores para sitios no autorizados.
- Implementar EDR con reglas para detectar procesos de navegador que accedan a cámara después de enviar formularios.
- Utilizar sandboxing para aislar navegación a sitios de riesgo.
Concienciación y Capacitación:
- Programas continuos de simulación de phishing enfocados en señuelos de "urgencia administrativa".
- Entrenamiento específico para identificar suplantación de portales oficiales.
Controles Técnicos:
- Implementar DMARC con política de rechazo (reject) para dominios gubernamentales.
- Configurar DLP para detectar exfiltración de credenciales y datos biométricos.
- Utilizar soluciones de seguridad de correo con análisis de IA para detectar spearphishing sofisticado.
Monitoreo y Respuesta:
- Reglas SIEM para correlacionar acceso a Google Sites con formularios de login y posterior acceso a cámara.
- Monitorizar conexiones a plataformas PaaS/serverless no autorizadas.

Herramientas de Detección

Seguridad de Correo: Proofpoint, Mimecast, Microsoft Defender for Office 365.
Proxy/Web Filter: Zscaler, Blue Coat, Forcepoint con inspección SSL.
EDR/XDR: CrowdStrike Falcon, Microsoft Defender for Endpoint, SentinelOne.
DLP: Symantec DLP, Forcepoint DLP, Microsoft Purview.
SIEM/SOAR: Splunk, QRadar, Elastic SIEM con reglas personalizadas.

Referencias y Fuentes

Análisis de CTI sobre Operation CloudMimic (2025/2026).
MITRE ATT&CK Matrix: Tácticas y Técnicas.
Guías de seguridad para protección contra credential harvesting (CISA, ENISA).
Documentación sobre abuso de servicios cloud para hosting malicioso (Google Cloud, Replit).

Historial de Revisiones

v1.0 (Fecha actual): Creación inicial basada en análisis Ciber Threat Intelligence de Operation CloudMimic.

Etiquetas / Categorías

Tipo de Amenaza: Credential Harvesting, Phishing, Robo Biométrico, Suplantación de Identidad.
Sector Objetivo: Gubernamental, Sector Público.
Tecnología Afectada: Servicios Cloud (Google Sites, Replit), Cámaras Web, Sistemas de Autenticación.
Región: Colombia, Latinoamérica.
Nivel de Impacto: Alto (compromiso de credenciales + datos biométricos).

CAMPAÑAS