
En su análisis más reciente, Mandiant describe con detalle el modus operandi atribuido al grupo ShinyHunters y cómo estos actores han evolucionado para capturar credenciales de acceso y códigos MFA. El informe subraya que la combinación de ingeniería social, malware y vectores de autenticación que no son a prueba de phishing puede permitir monetizar credenciales y, en ciertos casos, evadir controles de seguridad basados en MFA. Este panorama destaca la necesidad de entender no solo las herramientas que utiliza el atacante, sino también las debilidades de los flujos de autenticación que siguen vigentes en muchas organizaciones.
Hallazgos clave:
– Esquemas de phishing dirigido para obtener credenciales de servicios en la nube y plataformas de terceros, a menudo con páginas falsas que replican interfaces legítimas.
– Empleo de malware en endpoints para robar credenciales almacenadas, tokens de sesión y, cuando es posible, cookies de autenticación que permiten reusar sesiones válidas.
– Aprovechamiento de flujos MFA basados en notificaciones push o códigos temporales, que pueden ser manipulados mediante ingeniería social o exfiltración de tokens de sesión asociados a la cuenta objetivo.
– Exfiltración y, en algunos casos, reutilización de credenciales robadas para intentar accesos en múltiples servicios (credential stuffing) cuando las defensas no están alineadas entre plataformas.
– Utilización de vectores de compromiso que buscan escalar privilegios o moverse lateralmente dentro de entornos con MFA débil o mal configurado, priorizando cuentas con valor estratégico para la organización.
Implicaciones operativas para defensores y equipos de seguridad:
– Los ataques combinan capas de ataque: entrada por phishing, captura de credenciales, y, cuando se da el caso, evasión de MFA, lo que hace que la defensa dependa de controles múltiples y de la visibilidad en varios dominios.
– La presencia de MFA basada en métodos susceptibles a manipulación —como ciertas notificaciones push o códigos entregados por mensajería— amplía la ventana de oportunidad para que un atacante aproveche la interacción humana o la exfiltración de tokens.
– Una vez obtenido el acceso, la persistencia y la capacidad de movimiento lateral pueden prolongar la intrusión incluso si solo una capa de defensa se ve comprometida, subrayando la necesidad de una postura de seguridad de múltiples capas y de monitoreo continuo.
Defensas y mitigaciones recomendadas:
– Adoptar MFA resistente a phishing siempre que sea posible, priorizando tecnologías FIDO2/WebAuthn y llaves de seguridad físicas para cuentas privilegiadas o de alto valor. Este enfoque reduce la dependencia de métodos susceptibles a la suplantación de identidad y a la exfiltración de códigos.
– Desincentivar o deshabilitar MFA basado en SMS y, cuando sea viable, aplicar políticas que impidan la reutilización de métodos de autenticación menos seguros. Complementar con autenticación basada en dispositivos y riesgo para reforzar la verificación de identidad.
– Implementar autenticación adaptativa basada en riesgo: bloquear o exigir reautenticación adicional ante inicios de sesión desde ubicaciones inusuales, dispositivos no registrados o comportamientos atípicos, y aplicar controles contextuales a nivel de aplicación y servicio.
– Fortalecer la seguridad del endpoint: despliegue de EDR/XDR, detección de troyanos y herramientas de prevención de robo de credenciales, junto con políticas de registro y monitoreo de exfiltración de datos de credenciales y tokens.
– Gestión de sesiones y tokens: invalidar sesiones sospechosas y revisar tokens de terceros cuando exista indicio de compromiso; aplicar políticas de caducidad de tokens y revisión de permisos de apps conectadas.
– Educación y simulaciones de phishing: programas continuos de concienciación para usuarios y administradores, acompañados de ejercicios de phishing para medir la preparación ante estas campañas.
– Revisión de configuración cruzada entre plataformas: asegurar que las prácticas de MFA y la protección de credenciales se apliquen de forma consistente en todos los servicios críticos y proveedores, reduciendo las brechas entre sistemas.
– Enfoque de seguridad zero trust: no confiar automáticamente en ningún usuario o dispositivo, segmentar el acceso y exigir verificación continua para movimientos sensibles dentro de la red.
Conclusión:
La investigación de Mandiant sobre ShinyHunters ilustra la necesidad de una defensa en capas ante ataques que buscan capturar credenciales y explotar flujos MFA débiles. Aunque ninguna solución única basta, la combinación de MFA phishing-resistant, monitoreo de comportamiento, fortalecimiento del endpoint y una cultura de seguridad proactiva puede elevar significativamente la resistencia frente a estas amenazas. En un panorama donde los atacantes continúan adaptándose, las organizaciones deben priorizar tecnologías robustas, prácticas de seguridad consistentes entre plataformas y una vigilancia constante para detectar indicios de intrusión antes de que se conviertan en incidentes graves.
from Latest from TechRadar https://ift.tt/YLRxfgE
via IFTTT IA








