Un phishing, un kit desconocido y por qué publicamos sus indicadores

A comienzos de noviembre, una persona de una empresa chilena que atendemos reportó un correo que le pareció raro. Era la continuación de una conversación sobre una cotización, pero el remitente había cambiado a mitad del hilo. Tenía razón en sospechar: el enlace llevaba a un kit de phishing AiTM (adversario en el medio) contra Microsoft 365 que no aparecía en ninguna publicación. Este artículo cuenta cómo lo investigamos y por qué decidimos publicar sus indicadores de compromiso en vez de guardarlos.

El ataque: una cotización en dos pasos

El engaño tenía dos tiempos, y ese es justamente su truco:

1. Primer contacto sin nada sospechoso. Un correo breve pidiendo una cotización, enviado desde el buzón real de una empresa extranjera, probablemente comprometido. No traía enlaces ni adjuntos, así que los filtros no tenían qué analizar.
2. La continuación, con el enlace. Cuando alguien respondía, llegaba un «Re: Quotation» desde otro dominio, creado para imitar a una empresa real y con su propia firma DKIM válida. El enlace partía en un sitio legítimo y saltaba por otros dos antes de llegar a la página falsa.

Esa página no es una copia del inicio de sesión de Microsoft: es un proxy en tiempo real. La persona ve el sitio verdadero, escribe su contraseña y aprueba el segundo factor, y el atacante se queda con la sesión ya autenticada. Por eso el MFA por SMS o por aplicación no basta contra este tipo de ataque.

No hubo compromiso. La usuaria no abrió el enlace, Defender no registró clics y la contención, con bloqueos en el tenant, retiro de los correos y nuevos avisos en Outlook, quedó lista en menos de cuatro horas.

La investigación: de un enlace a una plataforma

Con el incidente contenido, seguimos el rastro. Toda la investigación fue pasiva: certificados públicos, DNS, registros de dominios, escaneos públicos de urlscan.io y las bases de abuse.ch. Nunca ingresamos a la infraestructura del atacante.

Lo que encontramos:

• Un kit sin documentar. Comparamos sus rutas, su código y su captcha con las familias conocidas de phishing AiTM (Tycoon2FA, Mamba 2FA, Sneaky 2FA) y no coincide con ninguna.
• Una plataforma de phishing como servicio. El dominio del captcha es también el panel de clientes de una plataforma llamada «Green Proxy», que vende licencias y funciona al menos desde septiembre de 2025. Es decir, no fue un atacante solitario: cualquiera que compre una licencia puede lanzar la misma campaña.
• Un vínculo con una botnet. Meses antes, la misma dirección IP que hoy hace de proxy repartía malware de la botnet Mirai. Al revisar el historial de rutas vimos que ese bloque de direcciones cambió de proveedor entremedio, así que la relación entre ambas es posible, pero no está probada, y así lo publicamos.

El análisis técnico completo, con la cadena de redirecciones, la puerta antibots y la cronología de la infraestructura, está en nuestra nota de investigación: Green Proxy: kit de phishing AiTM para Microsoft 365.

Por qué publicar los indicadores

Un indicador que solo vive en el informe de un cliente protege a una empresa. Publicado, puede proteger a miles. Una plataforma como servicio ataca a muchas organizaciones a la vez, y la mayoría no tendrá a alguien que note el cambio de remitente.

Publicamos en abierto (TLP:CLEAR):

La nota de investigación también describe cómo detectarlo por su patrón y no solo por sus dominios: el salto por /oauth/authorize de un sitio legítimo, el «Re:» que llega desde un remitente distinto al del primer correo y las rutas propias de la puerta antibots. Los dominios cambian en días; el patrón dura más.

Lo que no publicamos

Compartir no significa exponer. Antes de publicar aplicamos tres reglas:

• Ninguna víctima identificable. No nombramos a la empresa atacada ni a los terceros cuyas cuentas o sitios usó el atacante.
• Indicadores desarmados. Los dominios se escriben como ejemplo[.]com para que nadie haga clic por accidente.
• Correcciones a la vista. Cuando descubrimos que habíamos atribuido mal el proveedor de una IP, lo corregimos en todas las fuentes y dejamos constancia del cambio. Un indicador con fecha y contexto vale más que uno que parece infalible.

Qué puede hacer tu empresa hoy

• Cargar los indicadores del repositorio público en tu filtro de correo, proxy o SIEM.
• Activar los avisos de primer contacto y la etiqueta «Externo» en Outlook. Hacen visible justo la señal que detuvo este ataque: un remitente nuevo en medio de una conversación.
• Usar MFA resistente a phishing (llaves FIDO2 o passkeys) en las cuentas críticas. Es lo único que frena un proxy AiTM, porque la llave no funciona en un dominio falso.
• Premiar los reportes. El mejor control de este caso fue una persona que desconfió y avisó. Ese hábito se entrena.

Si administras Microsoft 365, revisa también nuestro servicio de seguridad para Microsoft 365.

Siguiente paso

¿Recibiste un correo parecido, o ves inicios de sesión que no reconoces? Lo revisamos contigo. Conoce el servicio de threat hunting o lee el análisis técnico completo.