Diferencia entre revisiones de «Microsoft Device Code Phishing Campaign (EvilTokens / Storm-2372 Evolution)»

Microsoft Device Code Phishing Campaign es una campaña de phishing avanzada y generalizada detectada por Microsoft Defender Security Research que abusa del flujo de autenticación legítimo de código de dispositivo OAuth 2.0 para comprometer cuentas de organizaciones a gran escala. Esta campaña, que coincide con la aparición de EvilTokens, un conjunto de herramientas de phishing como servicio (PhaaS), representa una evolución significativa respecto a campañas anteriores como la de Storm-2372 observada en febrero de 2025. La campaña se distingue por su alto grado de automatización, el uso de inteligencia artificial generativa para crear señuelos hiperpersonalizados, y una infraestructura dinámica que elude las defensas tradicionales. Los atacantes utilizan plataformas de automatización como Railway.com para activar miles de nodos de sondeo únicos y de corta duración, generan códigos de dispositivo dinámicamente en el momento de la interacción del usuario para eludir la ventana de caducidad estándar de 15 minutos, y emplean señuelos generados por IA adaptados al rol de la víctima (solicitudes de propuestas, facturas, flujos de trabajo de fabricación). Una vez obtenidos los tokens de autenticación, los atacantes realizan reconocimiento con Microsoft Graph, crean reglas de bandeja de entrada maliciosas para persistencia y exfiltración, y se centran en objetivos de alto valor como usuarios con roles financieros o ejecutivos. La campaña utiliza una cadena de redirecciones a través de dominios legítimos comprometidos y plataformas serverless de alta reputación (Vercel, Cloudflare Workers, AWS Lambda) para evadir escáneres y listas negras. Esta actividad demuestra un aumento significativo en la sofisticación de los ciberdelincuentes, combinando automatización de extremo a extremo, IA generativa y abuso de protocolos legítimos de autenticación.

* EvilTokens Campaign (Por el conjunto de herramientas PhaaS identificado)

* Device Code Phishing 2.0 (Por la evolución de la técnica)

* AI-Powered Phishing Campaign (Por el uso de IA generativa)

* Campaña Anterior Relacionada: Storm-2372 (observada en febrero de 2025)

* Fecha de Detección por Microsoft Defender: Marzo - abril de 2026

* Estado: Activo. La campaña continúa evolucionando con nueva infraestructura y señuelos.

* Nombre del Actor: No atribuido a un grupo específico; asociado a EvilTokens (conjunto de herramientas PhaaS) y posiblemente relacionado con Storm-2372.

* Tipo de Actor: Grupo de ciberdelincuencia que opera un modelo de Phishing como Servicio (PhaaS). Venden o alquilan la infraestructura y las herramientas a otros ciberdelincuentes.

* Sofisticación: Muy alta. La campaña demuestra capacidades avanzadas: automatización de extremo a extremo con plataformas como Railway.com, generación dinámica de códigos de dispositivo para eludir ventanas de caducidad, uso de IA generativa para crear señuelos hiperpersonalizados, cadena de redirecciones multi-etapa con abuso de plataformas serverless legítimas (Vercel, Cloudflare Workers, AWS Lambda), secuestro del portapapeles mediante API de navegador, sondeo en tiempo real del estado de autenticación, y actividades posteriores a la intrusión que incluyen reconocimiento con Microsoft Graph, creación de reglas de bandeja de entrada maliciosas y exfiltración selectiva de datos de objetivos de alto valor.

Microsoft Device Code Phishing Campaign representa una nueva generación de ataques de phishing que abusan del flujo de autenticación legítimo de código de dispositivo OAuth 2.0, diseñado originalmente para dispositivos con capacidades de entrada limitadas (como televisores inteligentes o impresoras). En este ataque, los ciberdelincuentes inician el proceso de autenticación y proporcionan a la víctima un código mediante un señuelo de phishing. Cuando la víctima introduce el código en el portal oficial microsoft.com/devicelogin, autoriza sin saberlo la sesión del atacante, otorgándole acceso a la cuenta sin necesidad de exponer credenciales ni evadir la autenticación multifactor (MFA). La campaña se distingue por su automatización avanzada: los atacantes utilizan plataformas como Railway.com para activar miles de nodos de sondeo únicos y de corta duración, generan códigos de dispositivo dinámicamente en el momento en que el usuario hace clic en el enlace de phishing (resolviendo así el problema de la caducidad de 15 minutos), y emplean IA generativa para crear correos electrónicos hiperpersonalizados adaptados al rol de la víctima (ejecutivos, finanzas, fabricación). La cadena de ataque incluye múltiples redirecciones a través de dominios legítimos comprometidos y plataformas serverless de alta reputación (Vercel, Cloudflare Workers, AWS Lambda) para evadir la detección. Una vez obtenidos los tokens, los atacantes realizan reconocimiento con Microsoft Graph, crean reglas de bandeja de entrada maliciosas (con nombres que contienen solo caracteres especiales) para persistencia y exfiltración, y se centran en objetivos de alto valor, especialmente aquellos con roles financieros. Esta campaña demuestra un salto cualitativo en la sofisticación del phishing, combinando automatización, IA y abuso de protocolos legítimos para eludir MFA y las defensas tradicionales.

# Correos Electrónicos de Spearphishing con IA: Los atacantes utilizan inteligencia artificial generativa para crear correos electrónicos dirigidos y personalizados según el rol de la víctima, con temas como solicitudes de propuestas (RFP), facturas, flujos de trabajo de fabricación o "Acción requerida: Caducidad de la contraseña".

# Cadena de Redirecciones Multi-Etapa: Los correos contienen enlaces o archivos adjuntos que, al ser abiertos, inician una serie de redirecciones a través de dominios legítimos comprometidos y plataformas serverless de alta reputación (Vercel, Cloudflare Workers, AWS Lambda), evadiendo escáneres de URL y sandboxes.

# Sondeo en Tiempo Real: El script de la página entra en un estado de sondeo (cada 3-5 segundos) para monitorear si el usuario ha completado la autenticación, validando el estado a través del endpoint <code>/state</code> del atacante.

{| class="wikitable"

!Táctica (MITRE ATT&CK)

|Manipulación de correos electrónicos mediante reglas de bandeja de entrada que redirigen comunicaciones.

|}

# Reconocimiento y Validación del Objetivo (10-15 días antes): El atacante verifica la validez de las cuentas objetivo mediante el endpoint GetCredentialType de Microsoft. Identifica perfiles de alto valor (finanzas, ejecutivos) mediante análisis de perfiles públicos y directorios corporativos.

# Armamento: El atacante configura la infraestructura de ataque: dominios de suplantación, redireccionadores en plataformas serverless (Vercel, Cloudflare Workers, AWS Lambda), y las páginas de phishing con scripts de automatización. Prepara los correos electrónicos personalizados con IA generativa.

# Acción sobre Objetivos: El usuario pega el código en microsoft.com/devicelogin y completa la autenticación (con MFA si está configurada). El atacante recibe los tokens de acceso y actualización. Posteriormente: (a) realiza reconocimiento con Microsoft Graph, (b) crea reglas de bandeja de entrada maliciosas, (c) exfiltra correos electrónicos de objetivos de alto valor.

{| class="wikitable"

!Tipo

|Punto de autenticación legítimo donde la víctima introduce el código.

|}

* Objetivo Principal: Cuentas de organizaciones que utilizan Microsoft Entra ID (anteriormente Azure AD) para autenticación.

* Perfiles de Alto Valor: Usuarios con roles financieros, ejecutivos, administrativos.

* Tipo de Datos Comprometidos: Tokens de autenticación (acceso y actualización), correos electrónicos, estructura organizativa, permisos.

* Nivel de Riesgo: Crítico para organizaciones que no han restringido el flujo de código de dispositivo o no tienen políticas de acceso condicional adecuadas.

* Impacto Potencial:

* Evolución respecto a Storm-2372: Esta campaña es significativamente más sofisticada que la campaña anterior de febrero de 2025, con automatización de extremo a extremo, generación dinámica de códigos, IA generativa para señuelos, y abuso de plataformas serverless.

# Restringir o Bloquear el Flujo de Código de Dispositivo (M1030):

#* Microsoft recomienda bloquear el flujo de código de dispositivo siempre que sea posible. Configurar políticas de acceso condicional de Microsoft Entra ID para deshabilitar este flujo para todos los usuarios o solo para aquellos que no lo necesiten.

#* Activar Safe Links (Enlaces seguros) para analizar enlaces maliciosos en tiempo real y activar alertas de phishing con código de dispositivo de alta confianza.

* Microsoft Defender XDR: Detecta autenticación sospechosa de Azure mediante posible intento de phishing a través de código de dispositivo. Incluye detecciones específicas como "Compromiso de cuenta de usuario mediante phishing con código de dispositivo OAuth" y "Código de dispositivo sospechoso tras hacer clic en un enlace de un remitente desconocido".

* Microsoft Defender para Office 365: Ofrece protección previa a la entrega contra correos electrónicos de phishing con código de dispositivo.

* Caza Avanzada (Microsoft 365 Defender): Consultas KQL para validar códigos de error 50199 seguidos de éxito, autenticación desde rangos IP sospechosos, correlación de clics en URL con inicios de sesión riesgosos, y detección de reglas de bandeja de entrada con nombres que contienen solo caracteres especiales.

* Microsoft Defender Security Research Team. (2026, 13 de abril). ''Dentro de una campaña de phishing de código de dispositivo con IA''. (Artículo proporcionado por el usuario).

* Microsoft. (2025, febrero). *Storm-2372 device code phishing campaign*. (Campaña anterior mencionada).

* OAuth 2.0 Device Authorization Grant (<nowiki>RFC 8628</nowiki>). (Estándar técnico abusado).

{| class="wikitable"

!Fecha

|Creación inicial de la entrada basada en el análisis de Microsoft Defender.

|}

{| class="wikitable"

!Tipo

|Creación de reglas de bandeja de entrada con nombres de solo caracteres especiales

|}

<code>phishing</code> <code>device-code</code> <code>oauth</code> <code>evil-tokens</code> <code>storm-2372</code> <code>microsoft-defender</code> <code>phishing-as-service</code> <code>phaas</code> <code>ai-phishing</code> <code>railway-com</code> <code>vercel</code> <code>cloudflare-workers</code> <code>aws-lambda</code> <code>graph-api</code> <code>entra-id</code> <code>conditional-access</code> <code>mfa-bypass</code> <code>token-theft</code> <code>inbox-rules</code> <code>ciberwiki</code> <code>microsoft-security</code> <code>device-code-phishing</code> <code>campaña-phishing</code> <code>automatizacion-phishing</code> <code>ia-phishing</code> <code>evil-tokens-campaign</code>