La mayoría de los correos de phishing todavía dependen de un enlace. Un destinatario hace clic, llega a una página alojada en algún lugar, y el dominio de esa página es al menos algo que un equipo de seguridad puede marcar o bloquear. Una nueva investigación de la firma de inteligencia de amenazas ANY.RUN, publicada el 25 de agosto y cubierta ampliamente, entre otros por The Hacker News, describe una plataforma de phishing como servicio llamada Mirage2FA que prescinde de ese paso. Entrega la propia página de phishing como un adjunto.
Un Adjunto Que Construye Su Propia Página de Phishing
Los mensajes de Mirage2FA llevan archivos HTML, XHTML o SVG como adjuntos en lugar de enlaces a una página alojada. Cuando un destinatario abre uno, el adjunto no redirige a ningún sitio; se ejecuta localmente en el navegador, usando un cargador de JavaScript ofuscado para construir una convincente página de inicio de sesión de Microsoft 365 directamente en la máquina de la víctima. No hay una URL externa que un escáner pueda verificar en el momento de la entrega, porque en ese momento aún no ha salido nada malicioso del adjunto. La página solo empieza a comunicarse con la infraestructura del atacante cuando la víctima comienza a escribir en ella, que es precisamente el momento en que una defensa basada en enlaces ya habría tenido su única oportunidad de intervenir y la habría perdido.
Credenciales Reales, Un Código Real, Una Cookie de Sesión Real
Una vez que la víctima ingresa un usuario y una contraseña en esa página construida localmente, comienza el verdadero robo de Mirage2FA. El kit ejecuta un proxy de adversario en el medio que retransmite esas credenciales a los servidores reales de inicio de sesión de Microsoft en tiempo real, y luego pasa el código de verificación de un solo uso que la víctima escribe en respuesta a una solicitud de MFA genuina. Como el inicio de sesión ocurre de verdad, Microsoft emite una cookie de sesión autenticada genuina de vuelta, y el proxy la captura antes de que llegue a la víctima. Los investigadores encontraron que la plataforma almacenaba las cookies robadas como volcados de texto codificados en base64 en su consola de operador, listas para ser reutilizadas contra Microsoft 365, cualquier aplicación de inicio de sesión único conectada y cualquier herramienta interna que confíe en esa sesión. El atacante ya no necesita la contraseña nunca más, ni necesita pasar el MFA nunca más, porque la sesión que tiene delante ya lo hizo.
Dos Años, 94 Países, Casi la Mitad Comprometida
ANY.RUN rastreó la infraestructura de Mirage2FA hasta al menos julio de 2024, operando en más de 31 dominios y 14 direcciones IP durante más de dos años antes de que esta investigación la sacara a la luz a esta escala. La ola actual alcanzó 9,426 direcciones de correo en 3,518 organizaciones de 94 países, con un 63.7% de los objetivos en Estados Unidos y tecnología, manufactura y educación entre las industrias más atacadas. De esas 9,426 direcciones objetivo, 4,532 fueron evaluadas como potencialmente comprometidas, una tasa de éxito superior al 48%. Los señuelos eran documentos comerciales ordinarios: notificaciones de documentos seguros, confirmaciones de remesas, estados de facturación automatizada y solicitudes de pago, el tipo de líneas de asunto que generan un clic sin pensarlo dos veces.
Por Qué DMARC Nunca Entra en Esta Historia
DMARC verifica una sola cosa: si el dominio nombrado en el encabezado From de un mensaje autorizó a la infraestructura que lo envió. Los operadores de Mirage2FA no necesitan suplantar el dominio de nadie para que esto funcione, porque el propio adjunto lleva la carga maliciosa en lugar de un enlace que apunte a un remitente parecido. Un mensaje construido así puede salir desde un dominio que el atacante controla por completo, con su propio registro SPF válido, su propia firma DKIM y su propia política DMARC configurada para pasar, y la verificación hará exactamente lo que se supone que debe hacer: confirmar que el remitente tenía autoridad para enviar desde ese dominio. Nunca fue diseñada para abrir un adjunto HTML, evaluar el JavaScript que contiene, ni observar cómo un proxy retransmite un inicio de sesión real y un código de MFA real a los servidores reales de Microsoft unos segundos después. Cada parte de esa cadena ocurre después de que la única pregunta que DMARC responde ya quedó resuelta.
Qué Significa Esto Para Tu Programa
Extiende la inspección de adjuntos a archivos HTML, XHTML y SVG, no solo a ejecutables y macros. Un mensaje que autentica sin problemas y lleva lo que parece un adjunto de documento puede seguir siendo el mecanismo completo de entrega de una página de phishing, y las decisiones de filtrado construidas solo alrededor de enlaces sospechosos no lo detectarán.
No trates una solicitud de MFA superada como prueba de que un inicio de sesión fue seguro. Un proxy de adversario en el medio retransmite un código real a un servidor de inicio de sesión real en tiempo real, así que la víctima efectivamente completa el MFA mientras el atacante captura la sesión detrás de eso; la defensa que importa aquí es la autenticación resistente al phishing como las passkeys, no un código de un solo uso adicional.
Vigila la infraestructura que lleva años operando, no solo días. Mirage2FA funcionó durante más de dos años antes de que una investigación de esta escala la alcanzara, lo que significa que los feeds de amenazas construidos solo sobre dominios recién registrados pasarán por alto infraestructura que ha tenido tiempo de madurar y construir reputación.
Monitorea la actividad de sesiones y tokens en busca de viajes imposibles y reutilización, no solo inicios de sesión fallidos. Una cookie robada permite a un atacante saltarse por completo la pantalla de inicio de sesión, así que la señal a detectar es una sesión válida apareciendo donde no debería, no un intento de inicio de sesión que nunca ocurrió.
La Conclusión
Mirage2FA no es interesante porque derrote al MFA; los kits de adversario en el medio llevan tiempo haciendo eso. Es interesante porque elimina la única parte de un correo de phishing que la mayoría de las defensas todavía están construidas para inspeccionar: el enlace. Cuando la carga maliciosa es un adjunto que construye la página por sí mismo, y el dominio que lo envía nunca necesitó mentir sobre quién era, los protocolos de autenticación responden correctamente su única pregunta y el ataque avanza de todos modos. Esa brecha no es un fallo de DMARC. Es el límite de lo que DMARC alguna vez tuvo que hacer.
DMARC confirma que un dominio tenía autoridad para enviar. No puede inspeccionar lo que construye un adjunto HTML una vez abierto, ni puede ver a un proxy retransmitiendo un código de MFA real a Microsoft entre bastidores. Excello Mail convierte tus reportes agregados de DMARC en un registro claro y continuo de cada dominio y servicio que envía en tu nombre, para que la capa que la autenticación realmente cubre permanezca vigilada mientras tu equipo construye las defensas para todo lo que sucede después del clic. Regístrate gratis en Excello Mail y ten esa base lista.