“Probablemente todo el mundo ha recibido consejos sobre cómo evitar el phishing, como estar atentos a errores ortográficos u otros errores que alerten de la presencia de estafadores, sin embargo, estas técnicas solo funcionan con las técnicas tradicionales de phishing”, escribe Palo Alto Networks al compartir un análisis sobre los ataques de phishing Meddler in the Middle (MitM) y la forma en que evaden estas estrategias.
El propósito de un ataque de phishing es configurar una página de inicio de sesión falsa para engañar a los usuarios para que ingresen sus credenciales de inicio de sesión. En los ataques de phishing tradicionales, se suele crear sitio para imitar una página de inicio de sesión legítima, estas pueden alojarse en un dominio recién creado, comprometer un dominio legítimo o usar una plataforma SaaS existente.
Los Meddler in the Middle (MitM) son un tipo de ataque de phishing de última generación capaz de romper la autenticación de dos factores (2FA) y eludir muchos motores de detección de phishing basados en contenido. En lugar de mostrar una versión falsificada de una página de inicio de sesión de destino, un ataque MitM utiliza un servidor proxy inverso para transmitir la página de inicio de sesión original directamente al navegador del usuario.
El trabajo híbrido trajo consigo nuevos retos de ciberseguridad para los usuarios y las empresas; por ejemplo, a partir de noviembre de 2022, varios ataques de phishing han utilizado tácticas MitM para comprometer las cuentas de correo electrónico comerciales y robar con éxito la información confidencial de las organizaciones.
Hay varios kits de herramientas de phishing MitM populares que facilitan a los delicuentes informáticos lanzar sus propios ataques de phishing MitM con solo unos pocos clics, y estos amplían continuamente sus conjuntos de funciones y, al mismo tiempo, se vuelven más intuitivos y fáciles de usar.
| Name | First Released/Reported | Description |
| Evilginx2 | July 2018 (first version released May 2017) | Feature-rich MitM phishing kit with an easy-to-use command-line interface. Has cloaking features built in. Generates unique tokens (lures) that must be present in the URL to reveal the phishing content. |
| Modlishka | January 2019 | Automates several configuration steps and post-compromise actions, such as launching an instrumented Chrome instance with the stolen session cookie. |
| Muraena | May 2019 | Barebones MitM toolkit. Unlike some other toolkits that automatically create TLS certificates, Muraena requires the attacker to provide their own certificate. |
| EvilnoVNC | September 2022 | Uses a real web browser to render the login page on the attack server, and serves the content to the victim’s browser via VNC. |
| EvilProxy | September 2022 | Phishing-as-a-service platform for MitM phishing attacks. Provides an easy-to-use GUI for threat actors to set up and manage their own MitM phishing campaigns. |
A medida que los kits de phishing de MitM crecen en popularidad y continúan ampliando sus conjuntos de funciones, se espera que la prevalencia de los ataques de phishing de MitM también aumente. Los actores de amenazas ya están dando pasos en esta dirección, pues se predice que Evilginx 3.0 se lance en un futuro cercano, junto con un curso en línea sobre cómo ejecutar con éxito un ataque de phishing MitM.
Por el momento, las acciones que los usuarios finales pueden tomar para protegerse contra los ataques de phishing MitM incluyen la verificación de la validez de una URL antes de ingresar cualquier credencial, usar un administrador de contraseñas para almacenar e ingresar credenciales: si se encuentra en una página de phishing de MitM alojada en un sitio web que el administrador de contraseñas no reconoce, el administrador de contraseñas le avisará antes de ingresar sus credenciales.
También pueden usarse métodos MFA más actualizados, como claves de seguridad de hardware o WebAuthn 2FA. La inversión en solución de ataques y control de daños no es suficiente, pues estar prevenidos con información actualizada y defensas de última generación es vital para evitar que estos atentados afecten a los usuarios y las empresas que están cada vez más expuestos.
Fuente: DiarioTI
