Entre el 1 de junio y el 4 de agosto, el proveedor de seguridad de correo INKY, ahora parte de Kaseya, rastreó una campaña de phishing que funcionó en oleadas, deteniéndose sobre todo los fines de semana, y colocó 26.589 mensajes en 5.527 organizaciones. El día de mayor volumen fue el 3 de junio, cuando 2.432 mensajes llegaron a 1.149 organizaciones a la vez. Cada mensaje seguía la misma plantilla: una falsa notificación de mensaje de voz con un archivo SVG adjunto. Lo que hace que esta campaña merezca un estudio detenido no es solo el truco del tipo de archivo dentro de ella. Es que estos mensajes fallaron SPF, DKIM y DMARC en el perímetro de Microsoft 365, exactamente como debían hacerlo, y aun así fueron entregados en la bandeja de entrada.
Un Archivo de Imagen Que Nunca Fue una Imagen
Los archivos SVG están pensados para ser gráficos vectoriales simples, pero los navegadores los renderizan de forma nativa, incluyendo cualquier HTML o JavaScript incrustado dentro. Los atacantes construyeron una envoltura gráfica mínima alrededor de un script ofuscado que reconstruía sus propias cadenas de texto en tiempo de ejecución y usaba ejecución diferida para dificultar la inspección estática. Para superar los filtros que verifican el tipo de adjunto, declararon el tipo MIME del SVG como text/plain en lugar de image/svg+xml. Un escáner que revisa el tipo declarado veía un inofensivo archivo de texto. La víctima que lo abría veía cómo una pestaña del navegador armaba silenciosamente una página para robar credenciales frente a ella, construida enteramente con script local en lugar de descargada desde una URL marcada. No había ningún enlace malicioso en el mensaje que una puerta de enlace pudiera revisar por reputación al momento de la entrega, porque la página no existía en ningún lado hasta que el script la construía.
Apuntando a Todos, con Precisión
La campaña muestra poca evidencia de haber elegido objetivos con cuidado. La organización mediana recibió dos mensajes, y el 32 por ciento recibió solo uno. Lo que sí hizo con precisión fue personalizar el texto del señuelo: el 99,5 por ciento de los mensajes incorporaba la propia dirección de correo del destinatario en la notificación de mensaje de voz, y el 95 por ciento suplantaba el propio dominio del destinatario como remitente. Un mensaje que parece venir de dentro de tu propia organización, mencionando tu propia dirección, se lee como más creíble que uno de un dominio externo, sin importar cuántas otras empresas hayan recibido la plantilla idéntica esa misma semana.
DMARC Funcionó. La Entrega Ocurrió Igual.
Aquí es donde esta campaña deja de parecerse a la mayoría de las que cubrimos. Normalmente lo interesante es que DMARC nunca tuvo oportunidad de evaluar nada, porque el ataque rodeaba la identidad por completo. Aquí, DMARC cumplió su función. Los mensajes suplantados no tenían ninguna autorización legítima de los dominios que decían representar, así que SPF, DKIM y DMARC fallaron todos en el perímetro de Microsoft, correcta y esperadamente.
Los mensajes llegaron igual a las bandejas de entrada por la forma en que fueron enviados. Los operadores los retransmitieron a través de SparkPost, un proveedor de servicios de correo legítimo que usa una enorme cantidad de empresas reales para correo real. La infraestructura de envío de SparkPost lleva una reputación sólida con los proveedores de bandejas de entrada, construida durante años de tráfico mayormente legítimo pasando por sus rangos de IP. El filtrado de spam de Microsoft trata un fallo de DMARC como una señal más entre varias que alimentan una puntuación de Nivel de Confianza de Spam, no como una instrucción automática de rechazo, a menos que la propia política del dominio y la configuración del sistema receptor fuercen ese resultado. Frente a una plataforma de envío con la reputación de SparkPost, un fallo de autenticación no bastó para revertirlo. INKY marcó cada mensaje con un veredicto de “Peligro”, y su detección de contenido de phishing identificó el 100 por ciento de ellos. El 75 por ciento aun así llevaba un SCL de Microsoft de 0 o 1, el rango que Microsoft trata como no spam.
Qué Significa Esto Para Tu Programa
Un fallo de DMARC es un veredicto, no automáticamente un rechazo. Que ese veredicto realmente bloquee la entrega depende de cómo el sistema receptor lo pondera frente a todo lo demás que sabe, incluida la reputación de la infraestructura por la que viajó el mensaje. Publicar p=reject en tu propio dominio es lo que obliga a los receptores a tratar tus fallos de autenticación como definitivos, en lugar de como una entrada más entre muchas.
Vigila tus reportes agregados de DMARC en busca de tráfico de ESP que no autorizaste. Si tu dominio está siendo suplantado a través de una plataforma reputada como SparkPost, Mailgun o SendGrid, tus reportes son uno de los pocos lugares donde ese patrón aparece antes de que un cliente o empleado reporte el correo mismo.
No dejes que la reputación de una plataforma confiable reemplace un escaneo de lo que realmente transporta. La misma infraestructura que entrega tu propio correo de marketing y transaccional está disponible para cualquier otra persona con una cuenta, y los proveedores de bandejas de entrada no siempre pueden distinguir la diferencia en el momento en que llega un mensaje.
Marca las discrepancias de tipo de archivo en los adjuntos, no solo las extensiones. Un SVG declarado como text/plain es una inconsistencia específica y verificable entre lo que un archivo dice ser y lo que realmente es, y es exactamente el tipo de señal que una revisión estática de extensión pasa por alto.
La Conclusión
La mayoría de las campañas que cubrimos triunfan al quedar completamente fuera de lo que DMARC evalúa. Esta es diferente: DMARC se ejecutó, DMARC hizo fallar el mensaje, y el mensaje se entregó de todos modos, porque la infraestructura que lo transportaba había ganado suficiente confianza en otro lugar como para superar ese fallo. Un registro DNS que dice p=reject es una solicitud. Que un sistema receptor la honre como una instrucción o la trate como una sugerencia depende de todo lo demás que ese mensaje trae consigo, y al parecer la reputación de una plataforma legítima todavía alcanza para comprarle un lugar en la bandeja de entrada a una verificación de autenticación fallida.
Los reportes agregados de DMARC son donde primero verías tu dominio usado como identidad suplantada en una campaña como esta, mucho antes de que se convierta en un ticket de soporte o una transferencia fraudulenta. Excello Mail convierte esos reportes en una vista clara y continua de cada fuente que envía en tu nombre, autorizada o no, para que puedas distinguir entre tu propio correo y alguien que aprovecha la reputación de una plataforma confiable para llegar a las bandejas de entrada de tus destinatarios. Regístrate gratis en Excello Mail y pon esa visibilidad en marcha.