Green Proxy: primer análisis de una plataforma de phishing AiTM como servicio no documentada

En resumen. En noviembre de 2026, respondiendo a un incidente de phishing en una empresa chilena, encontramos un kit de adversario en el medio (AiTM) contra Microsoft 365 que no coincide con ninguna familia documentada. Su dominio de captcha es además el panel de clientes de una plataforma de phishing como servicio llamada «Green Proxy». El panel pide licencias con el formato GPKEY-XXXX-XXXX-XXXX y la plataforma funciona al menos desde septiembre de 2025. En mayo de 2026, la IP que hoy hace de proxy repartía binarios de Mirai (el bloque cambió de proveedor entremedio). Los indicadores, las reglas YARA y los paquetes STIX están en github.com/aacunaa/scgx02-iocs.

La entrega: una «solicitud de cotización» en dos pasos

1. Primer contacto. Llega un correo corto, «Quotation» o «Request for Quotation», desde un buzón *real y comprometido*. No trae enlace ni adjunto, así que el filtro no tiene nada que analizar. Entre el 30 de octubre y el 1 de noviembre de 2026 se usaron cuatro buzones de empresas japonesas alojadas en el mismo servidor.
2. Continuación. Si la persona responde, llega un «Re: Quotation» desde *otro* remitente: un dominio que imita a una empresa real y que firma con su propio DKIM, así que la autenticación aprueba.

• El enlace parte en el endpoint /oauth/authorize de una organización legítima. Con prompt=none&id_token_hint=dummy, ese endpoint redirige al redirect_uri del atacante aunque devuelva un error.
• Después pasa por el sitio comprometido de una pequeña empresa, cuya página solo lleva a la puerta.

La única señal visible fue humana: cambió el remitente a mitad de la conversación. La persona lo notó y lo reportó.

La puerta

La puerta decide quién ve el phishing; a los bots los manda a stackoverflow.com o a google.com. Tiene cuatro piezas:

• `POST /.verify`: prueba de trabajo SHA-256 y un puntaje de bots (challenge_id, solution, sig_score, sig_flags, fp, tz…). Si pasa, deja la cookie _vfy, que dura 7 días.
• `POST /.detect`: detector de entornos de análisis ({"type":"sandbox",…,"ent_count":0}).
• `POST /.devtools`: trampa contra las herramientas de desarrollo. El kit la inyecta también en cada página de Microsoft que reescribe.
• Captcha propio en otro dominio y puerto: greenproxysimpleserver[.]cc:8443/captcha/api, que devuelve {cid, nonce, difficulty, timestamp}, y /captcha/verify. Tiene hCaptcha preparado pero apagado: sitekey 24600978-7df2-44bc-9a8c-a18c95ca6886.

Detrás de la puerta, unos saltos /p/<token> de un solo uso llevan a un proxy en tiempo real del inicio de sesión de Microsoft (tfgevds., loginlive. y loginms.yizhaojingyun[.]com). El código de la puerta no está ofuscado y tiene comentarios numerados con emojis, algo inusual en un kit comercial.

No es una familia conocida

• Sneaky 2FA, Mamba 2FA y Tycoon2FA: no aparece ninguno de sus marcadores.
• El fork «Shield» de Sneaky 2FA: es lo más cercano, porque también usa un captcha de prueba de trabajo configurado por una API (cid, nonce, difficulty). Pero la implementación, las rutas y la interfaz son distintas.

Nuestra hipótesis es un kit nuevo que reutiliza ideas del ecosistema.

La tienda

La raíz de greenproxysimpleserver[.]cc es un panel «Green Proxy — Login»:

• pide usuario, contraseña y una licencia `GPKEY-XXXX-XXXX-XXXX`, y tiene un botón «Create Account»;
• su HTML es idéntico en los escaneos públicos de abril a noviembre de 2026 (SHA-256 50448224e0cb3dbcee198157ad6e01f3c59b36b7fb7e43601aa9f94ed842fb6a).

Pivoteando por el hash de su logo (d1fc8bf9fbb5a0efaef075466ddb2531e07a7a6405e31d2155538c03af77f688) apareció un panel anterior, «GreenProxy — Login», en eargentyna[.]com. Ese dominio tuvo 23 subdominios entre septiembre y noviembre de 2025; varios parecen códigos de país.

Nunca ingresamos a ningún panel.

Infraestructura y relación con Mirai

Que la botnet y la plataforma tengan el mismo operador es posible, no probado. El bloque 94.26.106.0/24 cambió de proveedor a fines de mayo de 2026: lo anunciaba dataforest GmbH (AS215607) durante la actividad de Mirai y TechTies (AS197170) desde el 31 de mayo. La IP pudo cambiar de manos entre una actividad y otra; solo los proveedores pueden aclararlo.

Cómo detectarlo

• Correo: enlaces a /oauth/authorize con prompt=none o id_token_hint= que redirigen a otro dominio.
• Correo: un «Re:» con enlaces desde un dominio sin historia con la empresa y distinto del remitente del primer correo, el que llegó sin enlaces y la persona respondió. En un tenant, durante 30 días, dio 4 resultados, entre ellos el ataque.
• Proxy web: POST a /.verify, /.detect o /.devtools, o peticiones a :8443/captcha/(api|verify).
• Búsqueda en urlscan.io: hash: del HTML del panel o del logo, para encontrar paneles nuevos.
• Defensa: MFA resistente a phishing (FIDO2 o passkeys).

Indicadores (desarmados): greenproxysimpleserver[.]cc · eargentyna[.]com · yizhaojingyun[.]com · ipfs-us[.]com · cnc.murrezbots[.]vip · 94.26.106[.]29 · 91.92.47[.]181 · 45.153.34[.]192. La lista completa está en github.com/aacunaa/scgx02-iocs.

Investigación pasiva (urlscan.io, Certificate Transparency, DNS, RDAP, abuse.ch), más un recorrido único del enlace del incidente en un navegador controlado. Víctimas anonimizadas. Contacto: adolfo@raiku.cl.