Quish Splash QR Phishing Campaign

La campaña Quish Splash representa una evolución significativa en las técnicas de phishing, al transformar los códigos QR en un vector de ataque altamente efectivo para evadir controles de seguridad tradicionales. Identificada por la firma de investigación 7AI en marzo de 2026, esta operación logró distribuir más de 1,6 millones de correos electrónicos maliciosos en menos de tres semanas sin ser detectada por soluciones avanzadas como Microsoft Defender. El ataque se caracteriza por ocultar enlaces de phishing dentro de imágenes BMP que contienen códigos QR únicos por víctima, lo que impide su análisis mediante técnicas convencionales basadas en texto o hash. Además, los correos fueron diseñados para superar controles de autenticación como SPF, DKIM y DMARC, utilizando dominios correctamente configurados, lo que permitió que fueran clasificados como legítimos. La campaña emplea una estrategia escalonada en múltiples fases, junto con técnicas de validación de víctimas mediante respuestas automáticas (“fuera de oficina”), y se apoya en el uso de dispositivos móviles como punto de ejecución final, eludiendo así los controles de seguridad corporativos tradicionales. Este enfoque demuestra una sofisticación creciente en la industrialización del phishing y evidencia una brecha crítica en la detección de amenazas basadas en contenido visual y comportamiento del usuario.

Nombres Alternativos / Aliases

Quish Splash (Nombre de la campaña)
QR Code Phishing Campaign
BMP Embedded Phishing Attack
QR-based Credential Harvesting
Image-based Phishing Evasion

Fecha de Detección / Actividad

Inicio de la Campaña: 26 de febrero de 2026
Actividad Observada: Hasta el 18 de marzo de 2026
Fecha de Publicación del Análisis: 26 de marzo de 2026
Estado: Activo / Reciente, con potencial de reutilización de la técnica

Actor de Amenaza (Atribución)

Nombre del Actor: No atribuido (uso del alias “Baron Lester”)
Tipo de Actor: Cibercriminal organizado / Operación de phishing a gran escala
Sofisticación: Alta
- Uso de evasión contra controles de correo (SPF, DKIM, DMARC)
- Generación de payloads únicos por víctima (QR dinámicos)
- Uso de ingeniería social contextual (temas de salud: COVID-19, VRS)
- Validación activa de cuentas mediante respuestas automáticas

Resumen Ejecutivo

Quish Splash es una campaña de phishing altamente sofisticada que introduce un cambio táctico relevante: el desplazamiento del contenido malicioso desde texto legible hacia elementos visuales como códigos QR incrustados en imágenes BMP. Esta técnica permite evadir motores de detección tradicionales que dependen del análisis de enlaces y firmas conocidas. La campaña no solo destaca por su escala (más de 1,6 millones de correos enviados), sino también por su enfoque estratégico en la evasión y validación de víctimas. Al utilizar códigos QR únicos por destinatario, los atacantes logran evitar mecanismos de bloqueo basados en hash o reputación. Asimismo, el uso de dispositivos móviles como canal de interacción final reduce la visibilidad de los equipos de seguridad, creando un punto ciego en la defensa corporativa. En conjunto, Quish Splash evidencia una tendencia hacia ataques más adaptativos, personalizados y difíciles de detectar, donde la confianza en elementos visuales y plataformas externas se convierte en un riesgo crítico.

Vectores de Ataque / Métodos de Distribución

Phishing por Correo Electrónico: Envío masivo de emails con temática de investigación médica (COVID-19, VRS).
Adjuntos Maliciosos en Imagen (BMP): Inclusión de códigos QR que contienen enlaces de phishing.
Evasión de Seguridad de Correo: Cumplimiento de SPF, DKIM y DMARC para aparentar legitimidad.
Ingeniería Social: Uso de identidades falsas (Baron Lester) y contenido creíble.
Validación de Víctimas: Uso de respuestas automáticas para identificar cuentas activas.
Uso de Dispositivos Móviles: Redirección del ataque fuera del entorno corporativo protegido.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica	Técnica	Descripción
Initial Access (TA0001)	Phishing (T1566)	Distribución masiva de correos electrónicos con contenido engañoso.
Initial Access (TA0001)	Spearphishing Attachment (T1566.001)	Uso de archivos BMP con códigos QR maliciosos.
Defense Evasion (TA0005)	Obfuscated Files or Information (T1027)	Enlaces ocultos dentro de imágenes para evadir análisis.
Defense Evasion (TA0005)	Trusted Relationship (T1199)	Uso de dominios válidos que superan SPF/DKIM/DMARC.
Defense Evasion (TA0005)	Indicator Removal / Hash Evasion	Generación de QR únicos por víctima para evitar detección basada en hash.
Reconnaissance (TA0043)	Gather Victim Identity Information (T1589)	Validación de cuentas mediante respuestas automáticas.
Credential Access (TA0006)	Phishing for Information (T1598)	Robo de credenciales mediante sitios accedidos por QR.
Execution (TA0002)	User Execution (T1204)	Usuario escanea el QR con dispositivo móvil.

Flujo de Ataque (Cyber Kill Chain)

Reconocimiento: Identificación de organizaciones objetivo y recopilación de correos electrónicos.
Armamento: Creación de imágenes BMP con códigos QR únicos que contienen enlaces maliciosos.
Entrega: Envío masivo de correos electrónicos que superan controles SPF, DKIM y DMARC.
Explotación: El usuario escanea el código QR desde su dispositivo móvil.
Instalación: Acceso a páginas de phishing diseñadas para capturar credenciales.
Comando y Control: No tradicional; interacción directa con infraestructura web de phishing.
Acción sobre Objetivos: Robo de credenciales y validación de cuentas activas.

Infraestructura Utilizada

Tipo	Indicador	Propósito
Dominio	iconicdeciphercom	Envío de correos y recepción de respuestas
Email	covid_info@iconicdeciphercom	Recolección de validaciones (OOO responses)
Archivos	Imágenes BMP con QR	Contenedor de enlaces maliciosos
QR dinámico	Único por víctima	Evasión de detección basada en hash

Objetivos y Sectores Afectados

Objetivo Principal: Usuarios corporativos de correo electrónico
Sectores Afectados: Múltiples industrias (campaña masiva no segmentada)
Vector Crítico: Dispositivos móviles fuera del control corporativo
Datos Objetivo: Credenciales de acceso, información personal y corporativa

Impacto y Riesgo

Nivel de Riesgo: Alto
Impacto Potencial:
- Compromiso de cuentas corporativas
- Acceso no autorizado a sistemas empresariales
- Fraude financiero y suplantación de identidad
- Expansión lateral dentro de organizaciones
- Dificultad de detección por uso de canales alternativos (móvil + QR)

Recomendaciones de Mitigación

Filtrado Avanzado de Adjuntos (M1037):Implementar análisis de imágenes (OCR / detección de QR) en correos electrónicos.
Concientización del Usuario (M1017):Educar sobre riesgos de escanear códigos QR provenientes de correos electrónicos.
Seguridad en Dispositivos Móviles (M1011):Aplicar controles de seguridad y monitoreo en dispositivos móviles corporativos.
Análisis de Comportamiento (M1040):Detectar accesos sospechosos posteriores al uso de credenciales.
Validación de Respuestas Automáticas:Limitar respuestas automáticas a remitentes externos para evitar validación de cuentas.

Herramientas de Detección

Secure Email Gateways: Con capacidades de análisis de adjuntos visuales.
EDR/XDR: Para detectar uso anómalo de credenciales tras el ataque.
Sandbox Interactivo: Para analizar comportamiento de enlaces derivados de QR.
Threat Intelligence: Para correlacionar campañas similares basadas en QR.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Dominio	iconicdeciphercom
Email	covid_info@iconicdeciphercom
Técnica	QR en imagen BMP
Volumen	+1.6 millones de correos
Alias atacante	Baron Lester

Etiquetas / Categorías

phishing qr-code bmp-attachment evasion spf-dkim-dmarc social-engineering credential-theft mobile-threat quish-splash 7ai ciberwiki