Sneaky 2FA

Sneaky 2FA es un kit de Phishing-as-a-Service (PhaaS) activo y ampliamente documentado, diseñado específicamente para robar credenciales y sesiones de Microsoft 365, incluso en entornos protegidos con autenticación de dos factores (2FA) . Identificado por primera vez a principios de 2025, opera bajo el nombre "Sneaky Log" a través de un bot en Telegram, ofreciendo a ciberdelincuentes una infraestructura de phishing avanzada como servicio .

Entre sus capacidades técnicas más distintivas se encuentra la incorporación de la técnica Browser-in-the-Browser (BitB), que permite crear ventanas emergentes falsas que imitan a la perfección las ventanas de inicio de sesión legítimas de Microsoft, mostrando una barra de direcciones con el dominio real login.microsoftonline.com para engañar incluso a usuarios entrenados . Para evadir sistemas de seguridad automatizados, el kit implementa Cloudflare Turnstile como filtro inicial, dirigiendo únicamente a usuarios humanos reales a la página de phishing mientras que los escáneres automatizados son redirigidos a páginas benignas . Su código HTML y JavaScript está altamente ofuscado, utiliza tácticas anti-análisis que deshabilitan las herramientas de desarrollador del navegador, y opera con una estrategia de "burn-and-replace" donde los dominios maliciosos son rotados rápidamente para evadir listas negras y sistemas de reputación . En el backend, emplea un proxy inverso Adversary-in-the-Middle (AiTM) que autentica las credenciales en tiempo real contra los servidores legítimos de Microsoft, permitiendo capturar tanto la contraseña como las cookies de sesión activas, lo que otorga a los atacantes acceso total a la cuenta de la víctima incluso después de que esta complete la verificación 2FA .

Funcionamiento

Sneaky 2FA es un sofisticado kit de phishing operado bajo el modelo Phishing-as-a-Service (PhaaS), distribuido a través de un bot de Telegram por el servicio criminal "Sneaky Log" desde al menos octubre de 2024, con un costo de suscripción reportado de $200 por mes. Su objetivo principal es el robo de credenciales y cookies de sesión de Microsoft 365, logrando eludir incluso la autenticación multifactor (MFA) gracias a la combinación de dos técnicas avanzadas: Adversary-in-the-Middle (AiTM) y Browser-in-the-Browser (BitB). El kit ha sido identificado en cerca de 100 dominios activos y en una campaña masiva que, desde junio de 2025, ha desplegado aproximadamente 3,400 dominios maliciosos para impersonar portales de inicio de sesión de Microsoft.

1. Cadena de Infección y Vectores de Distribución

El proceso de ataque de Sneaky 2FA comienza con un señuelo de ingeniería social altamente efectivo diseñado para evadir los filtros de seguridad perimetral:

Correos de phishing con facturas falsas: Las campañas observadas envían correos electrónicos que simulan ser notificaciones de pago o facturas, acompañados de documentos PDF adjuntos. Estos PDFs contienen códigos QR que, al ser escaneados, redirigen a la víctima a las páginas de phishing alojadas en infraestructura comprometida (frecuentemente sitios WordPress vulnerados).

Documentos falsos como señuelo principal: Otras variantes de la campaña utilizan enlaces que prometen mostrar un documento que requiere autenticación con Microsoft para ser visualizado (por ejemplo, un documento de Adobe Acrobat Reader). El dominio utilizado en esta táctica incluye previewdoc[.]us, donde la víctima es recibida con el mensaje "Sign in with Microsoft".

Autollenado de correo electrónico: Una característica que aumenta la legitimidad del ataque es la funcionalidad autograb, que extrae la dirección de correo electrónico de la víctima de los parámetros de la URL (ya sea en texto plano o codificada en base64) y la precarga automáticamente en el campo de inicio de sesión de la página falsa. Esto genera la ilusión de que el sitio ya "conoce" al usuario, reduciendo las sospechas.

2. Embudo Defensivo: Filtrado de Tráfico y Evasión de Análisis

Sneaky 2FA implementa un sofisticado sistema de filtrado que actúa como un embudo defensivo, dirigiendo únicamente a víctimas humanas reales hacia las páginas de robo de credenciales mientras desvía a escáneres automatizados, bots y analistas de seguridad hacia contenidos benignos.

Cloudflare Turnstile como primer filtro: Antes de acceder a cualquier contenido de phishing, el visitante debe superar un desafío de Cloudflare Turnstile (aunque también se ha observado reCAPTCHA). Esta página de verificación se presenta inicialmente con contenido falso relacionado con comida (títulos como "Gourmet Delights and Beverage") y un favicon que es el logotipo de Microsoft en base64, diseñado para engañar a los sistemas de escaneo automatizados que esperan ver contenido malicioso desde el principio.

Detección de tráfico no humano: El kit analiza la dirección IP del visitante para determinar si se origina desde un centro de datos, proveedor de nube, proxy, VPN o dirección con reputación de abuso. Si se detecta alguna de estas condiciones, el visitante es redirigido a una página legítima de Wikipedia relacionada con Microsoft a través del servicio href[.]li. Este comportamiento ha valido al kit el sobrenombre alternativo de "WikiKit" dado por TRAC Labs.

Anti-debugging y ofuscación: El código HTML y JavaScript está altamente ofuscado mediante múltiples técnicas diseñadas para frustrar el análisis estático y dinámico:

Ofuscación de texto: El texto visible para la víctima (como "No account?" y "Sign in") está roto en múltiples etiquetas HTML con contenido invisible intercalado, confundiendo a los patrones de detección basados en texto.
Imágenes embebidas: Los elementos de la interfaz (incluyendo fondos de color de Microsoft) están incrustados como datos base64 en el propio HTML.
Datos basura: Se incluyen grandes cantidades de datos irrelevantes dentro del cuerpo HTML que no son visibles para la víctima pero sirven para alterar las firmas estáticas.
Desactivación de herramientas de desarrollador: El kit ejecuta código que detecta y deshabilita el acceso a las herramientas de desarrollador del navegador (DevTools), impidiendo que un analista inspeccione el código en tiempo real.

3. La Técnica BitB: La Ilusión de la Ventana Legítima

La innovación más reciente y psicológicamente más efectiva de Sneaky 2FA es la incorporación de la técnica Browser-in-the-Browser (BitB), documentada por primera vez en 2022 por el investigador mr.d0x y añadida al kit a finales de 2025.

Mecanismo BitB: Cuando la víctima hace clic en "Sign in with Microsoft" en la página señuelo, no se abre una nueva pestaña del navegador, sino que se renderiza una ventana emergente completamente falsa construida mediante un iframe superpuesto dentro de la misma página. Esta ventana falsa replica con precisión:

La barra de direcciones: Muestra una URL que parece ser login.microsoftonline.com (el dominio legítimo de autenticación de Microsoft)
El candado SSL: Aparece el ícono de candado que los usuarios asocian con seguridad
La interfaz del sistema operativo: El kit detecta automáticamente el sistema operativo y el navegador de la víctima, mostrando una ventana que imita el estilo de Edge en Windows, Safari en macOS, o el tema correspondiente en móviles
Animaciones y comportamientos: Incluye animaciones de carga realistas y el comportamiento esperado de una ventana emergente de autenticación

Detección mediante prueba de arrastre: Una forma de identificar este tipo de ataque es intentar arrastrar la ventana emergente fuera del navegador principal. Si la ventana no se puede separar en una ventana independiente del sistema operativo (no aparece como un ícono separado en la barra de tareas), es una señal de que se trata de un BitB.

4. El Núcleo Técnico: Adversary-in-the-Middle (AiTM)

Mientras el BitB engaña visualmente a la víctima, la funcionalidad principal de robo de credenciales y sesiones la proporciona el proxy inverso AiTM.

Proxy en tiempo real: A diferencia del phishing tradicional donde una página falsa almacena la contraseña ingresada, Sneaky 2FA actúa como un proxy transparente. Cuando la víctima ingresa sus credenciales en la ventana falsa de BitB, el kit reenvía inmediatamente esas credenciales al servidor legítimo de Microsoft a través de una serie de peticiones HTTP POST a endpoints como /[hash]/validate. Esto significa que la autenticación ocurre realmente contra Microsoft, no contra un servidor falso.

Secuencia de autenticación típica:

Captura de dirección de correo electrónico: La URL de phishing incluye el email de la víctima precargado mediante autograb.
Captura de contraseña: Cuando la víctima ingresa su contraseña en la página falsa, el kit envía una petición POST con los parámetros em=<email>&pa=<password> al servidor de phishing.
Intercepción del método 2FA: El servidor de phishing, habiendo recibido la respuesta legítima de Microsoft indicando que se requiere 2FA, responde a la víctima presentando las opciones de segundo factor disponibles (Microsoft Authenticator, código SMS, código OTP).
Captura del código 2FA: Cuando la víctima introduce el código de verificación (sea cual sea el método), el kit lo captura y lo reenvía inmediatamente a Microsoft para completar la autenticación.
Robo de la cookie de sesión: Una vez que Microsoft valida el código 2FA y establece una sesión autenticada, el kit intercepta la cookie de sesión (típicamente la cookie de autenticación de Microsoft) y la envía al atacante. Esta cookie permite al atacante acceder a la cuenta sin necesidad de volver a pasar por el 2FA durante la vida útil de la sesión.

Cifrado y persistencia de sesión: El atacante puede simplemente reproducir la cookie de sesión robada en su propio navegador, lo que le otorga acceso completo a la cuenta de la víctima en Microsoft 365, incluyendo correo electrónico, OneDrive, Teams y cualquier otro recurso al que tenga acceso, todo ello sin activar nuevas alertas de MFA.

5. Comportamientos Anómalos Detectables

Los investigadores han identificado ciertos comportamientos técnicos de Sneaky 2FA que pueden ser utilizados para su detección:

Uso anómalo de User-Agent strings: El kit utiliza diferentes User-Agent strings hardcodeadas durante las distintas etapas del flujo de autenticación. Por ejemplo, la fase de captura de contraseña puede usar un User-Agent de navegador, mientras que la comunicación con Microsoft a través de la API utiliza otro diferente. Este patrón de transiciones de User-Agent es extremadamente raro en situaciones legítimas y ofrece una firma de alta fidelidad para detectar la presencia del kit.

Patrones de URL característicos: Las páginas de phishing utilizan URLs de 150 caracteres aleatorios bajo el directorio principal, con endpoints como /verify, /validate y parámetros que incluyen el email de la víctima codificado.

Origen del código: El componente de relay de autenticación de Microsoft en Sneaky 2FA comparte similitudes significativas con el código del kit W3LL OV6, una herramienta de phishing utilizada por el sindicato W3LL Store desde al menos 2023. La evidencia sitúa la versión base utilizada entre mayo y junio de 2023, aunque no se considera que Sneaky 2FA sea un sucesor directo.

6. Licenciamiento y Modelo de Negocio

Sneaky 2FA opera bajo un estricto modelo de licenciamiento que permite a sus operadores controlar el uso del kit:

Verificación por API: Cada instancia desplegada del kit debe contactar periódicamente a un servidor central de licencias (inicialmente en sneakylog[.]store/api/key y luego en 185.125.100.81/api/key) para verificar que la suscripción está activa.
Obfuscación del código fuente: Los clientes reciben una versión ofuscada del código, lo que les permite desplegarlo en su propia infraestructura pero dificulta la modificación o análisis del mismo.
Precio de suscripción: El servicio se anuncia a $200 por mes, ofreciendo acceso exclusivo a las funcionalidades del kit.

7. Consecuencias de una Infección Exitosa

Cuando un atacante logra interceptar exitosamente una cookie de sesión activa a través de Sneaky 2FA, las consecuencias pueden ser catastróficas:

Acceso a Microsoft 365: El atacante puede acceder al correo electrónico, archivos en OneDrive, conversaciones de Teams, y cualquier otra aplicación de Microsoft 365 a la que el usuario tenga acceso, todo ello sin necesidad de volver a autenticarse.

Movimiento lateral hacia Active Directory: En entornos híbridos (comunes en empresas), las credenciales en texto plano robadas durante el proceso AiTM también pueden ser utilizadas para autenticarse en el Active Directory local. Desde allí, el atacante puede realizar ataques como Kerberoasting para obtener tickets de servicio y escalar privilegios, llegando potencialmente a comprometer todo el dominio.

Imposibilidad de detección por 2FA: Dado que la sesión autenticada es legítima y la cookie de sesión es válida, el hecho de que el usuario tenga MFA activado no impide el acceso del atacante. Para el sistema de Microsoft, la sesión del atacante es indistinguible de la sesión legítima del usuario.

Impacto y consecuencias

Ruptura de la Confianza en MFA como Defensa Crítica

El impacto más devastador de Sneaky 2FA es la neutralización completa de la autenticación multifactor (MFA), un pilar fundamental de la seguridad moderna. A diferencia del phishing tradicional que solo roba credenciales, este kit implementa un proxy Adversary-in-the-Middle (AiTM) que se sitúa entre el usuario y los servidores legítimos de Microsoft, capturando tanto la contraseña en texto plano como las cookies de sesión activas posteriores a la autenticación 2FA . La víctima completa normalmente todo el flujo de autenticación, incluyendo la verificación biométrica o el código del autenticador, sin sospechar nada porque "todo funciona correctamente" desde su perspectiva . Esta técnica, descrita por investigadores como "your MFA won't save you", convierte el factor de seguridad más confiable en una ilusión, ya que el atacante obtiene una sesión autenticada que no requiere volver a pasar por el 2FA durante toda su vigencia .

Las consecuencias de esta capacidad son catastróficas para las organizaciones. Un atacante con una cookie de sesión válida puede acceder al correo electrónico, OneDrive, Teams y cualquier otro recurso de Microsoft 365 sin generar alertas adicionales, precisamente porque la sesión es legítima . Según análisis de Rubrik, "el usuario ve el inicio de sesión real de Microsoft, escribe su contraseña, recibe el prompt de MFA con coincidencia de números y se autentica con su huella digital. Todo parece correcto porque, desde la perspectiva del usuario, no hay indicación de que algo haya salido mal" . Esta capacidad de evasión ha llevado a que, en entornos corporativos, la detección de una sesión exitosa sin un evento de inicio de sesión correspondiente sea a menudo "la única señal temprana que se obtiene" de que un ataque BitB-style ha tenido éxito .

2. Compromiso Total de Entornos Híbridos y Movimiento Lateral

El impacto se expande exponencialmente cuando la organización opera en un entorno híbrido (combinación de Active Directory on-premise con Microsoft Entra ID en la nube), que es la configuración predominante en empresas medianas y grandes . En este escenario, el atacante obtiene dos llaves para dos puertas diferentes: la cookie de sesión para acceso a la nube, y la contraseña en texto plano que funciona en el Active Directory local . Mientras que en la nube el MFA ofrece cierta protección, en el entorno on-premise la autenticación tradicional sigue basándose únicamente en usuario y contraseña, protocolos Kerberos y tickets de servicio . Con las credenciales robadas, el atacante puede autenticarse directamente en el dominio, solicitar tickets de servicio mediante ataques de Kerberoasting, llevarlos offline y crackearlos con herramientas como hashcat .

Investigaciones presentadas en Black Hat USA 2025 demostraron que, una vez que un atacante obtiene control del servidor de sincronización Entra Connect (ya sea mediante movimiento lateral o dumping de credenciales), puede extraer el certificado del servicio de sincronización y su clave privada, generando tokens de autenticación válidos que permiten impersonar cualquier usuario híbrido dentro del inquilino, otorgando acceso de lectura y escritura a objetos del directorio privilegiado . El atacante puede incluso convertir un usuario cloud de bajos privilegios en una cuenta híbrida sincronizada mediante la técnica de "soft matching", heredando automáticamente derechos administrativos elevados y evadiendo completamente los mecanismos de detección .

3. Persistencia Invisible y Escalada a Privilegios de Dominio

Una de las consecuencias más graves es la capacidad del atacante para establecer mecanismos de persistencia indetectables que sobreviven incluso a intentos de remediación. Con privilegios de Enterprise Admin (obtenidos tras crackear la contraseña de una cuenta de servicio con delegación sin restricciones), el atacante puede acceder al controlador de dominio, extraer el hash de la cuenta KRBTGT y forjar un Golden Ticket. Un Golden Ticket permite al atacante impersonar cualquier usuario del dominio mediante tickets Kerberos TGT que cada controlador de dominio confía ciegamente porque la confianza es criptográfica y el atacante posee la clave .

La consecuencia crítica es que ninguna alerta se genera durante esta cadena de ataque. El phishing AiTM puede pasar desapercibido o perderse en una cola de falsos positivos, la alerta de Kerberoasting no conduce a nada (el atacante ya tiene los tickets fuera de la red), el cracking offline de hashes es completamente inobservable (ocurre en el hardware del atacante), y el Golden Ticket es indistinguible de un TGT legítimo . Como concluyen los investigadores, "el atacante puede tener acceso persistente, irrestricto, pero los dashboards del SOC siguen verdes" . A esto se suman técnicas adicionales documentadas por investigadores de Black Hat, como la manipulación de políticas de Graph API para insertar credenciales backdoor, la inyección de claves en Seamless SSO que proporcionan acceso remoto persistente sobreviviendo a rotaciones de clave, y el abuso de certificados híbridos de Exchange para generar tokens Service-to-Service (S2S) con claims trustedForDelegation que permiten impersonar cualquier buzón de Exchange Online y exfiltrar correos electrónicos, documentos y artefactos de colaboración sin generar logs durante 24 horas .

Componente Comprometido	Capacidad Adquirida	Persistencia
Cuenta de Usuario	Acceso inicial vía cookie de sesión	Mientras la cookie sea válida
Servicio Entra Connect	Forja de tokens de autenticación	Hasta que el certificado sea rotado
Cuenta KRBTGT	Creación de Golden Tickets (acceso a todo el dominio)	Hasta doble reinicio de contraseña de KRBTGT
Certificados Híbridos	Acceso a Exchange, SharePoint y exfiltración de datos	Sin logs de auditoría

4. Impacto Operativo y Financiero en las Organizaciones

El impacto en las víctimas de Sneaky 2FA no se limita a la pérdida de datos, sino que se traduce en consecuencias operativas y financieras devastadoras. El kit ha sido utilizado en campañas masivas desde junio de 2025, abarcando aproximadamente 3,400 dominios maliciosos que impersonan portales de inicio de sesión de Microsoft, con alta probabilidad de ser una variante de Sneaky 2FA . Aunque Sneaky 2FA representa un porcentaje menor del volumen total de ataques PhaaS (aproximadamente 4.41% de los eventos observados, frente al 95.59% de Tycoon 2FA), se caracteriza por ser más selectivo y sigiloso, empleando dominios de vida corta (solo unos días) y técnicas de priorización de objetivos de alto valor, lo que sugiere un enfoque en víctimas corporativas de mayor valor . Su costo de suscripción de $200 por mes lo hace accesible para una amplia gama de actores criminales, democratizando el acceso a capacidades de ataque altamente sofisticadas .

Las consecuencias específicas incluyen:

Compromiso de Cuentas Ejecutivas y BEC: Los atacantes pueden utilizar cuentas comprometidas (especialmente de ejecutivos) para iniciar transferencias bancarias fraudulentas o manipular transacciones comerciales, clasificándose esta amenaza dentro del espectro de Business Email Compromise (BEC). Las pérdidas financieras por transferencias fraudulentas pueden alcanzar millones de dólares por incidente .
Violaciones de Datos y Sanciones Regulatorias: El acceso a cuentas de Microsoft 365 permite la exfiltración de información corporativa sensible, incluyendo datos de clientes, registros financieros y propiedad intelectual. Esto puede derivar en sanciones por incumplimiento de GDPR, CCPA u otras regulaciones de protección de datos, además de demandas legales y pérdida de confianza de clientes y socios .
Interrupción Operativa Prolongada: La capacidad del atacante para establecer persistencia mediante manipulation de políticas de autenticación y backdoors en el directorio activo puede resultar en una interrupción operativa que se mide en semanas, no en horas. Las organizaciones afectadas se enfrentan al dilema de no poder simplemente "expulsar" al atacante, sino que necesitan reconstruir completamente el plano de identidad en un entorno limpio .

5. Consecuencias para la Industria de Seguridad y Respuesta a Incidentes

La aparición y sofisticación de Sneaky 2FA ha forzado una revisión fundamental de los modelos de defensa en la industria. Investigadores de Anomali señalan que BitB "colapsa el límite de confianza visual" al colocar una ventana falsa de inicio de sesión de Microsoft dentro del navegador real del usuario, eliminando las señales visuales en las que las personas confían y trasladando la carga a la telemetría de identidad en lugar del juicio humano . Esto representa un cambio paradigmático: los usuarios ya no pueden confiar en la apariencia de la barra de direcciones, el candado SSL o el diseño de la ventana emergente, porque todos estos elementos pueden ser perfectamente falsificados mediante iframes superpuestos y detección automática del sistema operativo y navegador .

Las lecciones para la defensa incluyen:

Necesidad de monitoreo de anomalías de sesión: Dado que el atacante utiliza una sesión autenticada legítima, la detección debe basarse en comportamientos anómalos posteriores a la autenticación, como accesos desde ubicaciones geográficas imposibles, patrones de User-Agent inconsistentes (el kit utiliza transiciones anómalas durante las etapas de autenticación) , o actividades inusuales como solicitudes masivas de tickets Kerberos o acceso a controladores de dominio .
La respuesta a incidentes debe incluir reconstrucción, no solo expulsión: Como documenta Rubrik, incluso cuando el SOC detecta una actividad sospechosa (por ejemplo, un inicio de sesión interactivo sospechoso en un controlador de dominio), el atacante probablemente ya ha establecido múltiples mecanismos de persistencia (Golden Tickets, backdoors en AdminSDHolder, cuentas de servicio modificadas). La mera expulsión del atacante es insuficiente; se requiere una reconstrucción completa del Active Directory a partir de copias inmutables y comprobadas que el atacante no pudo comprometer .
Arquitectura de recuperación proactiva: Las organizaciones deben asumir que un ataque AiTM exitoso es cuestión de tiempo, no de posibilidad. Las métricas de Barracuda indican que los ataques PhaaS representaron la mayoría de los incidentes observados (89% atribuidos a Tycoon 2FA, 8% a EvilProxy, 3% a Sneaky 2FA), demostrando que esta no es una amenaza teórica sino una realidad operativa actual . La inversión en capacidades de reconstrucción rápida (horas en lugar de semanas) y la implementación de controles como la separación obligatoria de servicios on-premise y cloud (que Microsoft planea implementar para octubre de 2025) son medidas críticas para mitigar el impacto de estos ataques .

Origen y motivación

Sneaky 2FA es un kit de Phishing-as-a-Service (PhaaS) desarrollado y operado por un servicio de cibercrimen conocido como Sneaky Log, cuya motivación principal es la ganancia económica mediante la venta de acceso a su infraestructura de robo de credenciales. Surgió en el ecosistema clandestino al menos desde octubre de 2024, distribuyéndose exclusivamente a través de un bot automatizado en Telegram que permite a los ciberdelincuentes adquirir el kit por una suscripción de $200 dólares mensuales (pagaderos en criptomonedas). El código base del kit muestra un linaje compartido con el infame kit de phishing W3LL OV6, vinculado al sindicato W3LL Store documentado desde 2023, aunque se considera una herramienta distinta que ha evolucionado el modelo de negocio de phishnig hacia un servicio más accesible y masivo. La motivación no es ideológica ni política, sino puramente comercial: democratizar el acceso a técnicas avanzadas de ataque (como el proxy AiTM y el BitB) para que actores de menor nivel técnico puedan lanzar campañas efectivas contra cuentas de Microsoft 365, cobrando una renta mensual recurrente similar al modelo SaaS (Software as a Service) pero adaptado al ámbito del cibercrimen.