Ciberseguridad

Más de 5.700 cuentas de Microsoft 365 pertenecientes a 28 organizaciones fueron objetivo de una campaña de password spraying que terminó comprometiendo siete identidades de servicio olvidadas, sin autenticación multifactor (MFA) y aparentemente protegidas por contraseñas que nunca habían sido modificadas.

La actividad, rastreada por Proofpoint como UNK_CondorFiltration, se concentró principalmente en organizaciones financieras y minoristas de Chile y utilizó TeamFiltration, una herramienta creada originalmente para realizar pruebas de penetración sobre Microsoft 365 y Entra ID.

Los atacantes generaron 32.825 eventos de autenticación contra 5.714 cuentas diferentes, distribuyendo los intentos desde 1.487 direcciones IP alojadas en AWS EC2. Una única compañía minorista chilena concentró el 78,3% de toda la actividad observada.

Pero el aspecto más significativo del ataque no está en el número de intentos. Ninguna cuenta convencional de empleado fue comprometida. Las siete identidades que los atacantes consiguieron controlar eran cuentas funcionales o de servicio que habían quedado activas y sin una gestión adecuada.

Siete cuentas olvidadas fueron suficientes para entrar

Las cuentas comprometidas se utilizaban para procesos empresariales como la gestión de tickets, aprobación de pagos a proveedores, operaciones de puntos de venta y tramitación de solicitudes internas.

Proofpoint no encontró actividad legítima de inicio de sesión anterior en ninguna de las siete identidades. Esto apunta a que habían sido creadas en algún momento para realizar determinadas funciones y posteriormente quedaron olvidadas, pero continuaron activas.

Además, seis fueron comprometidas en apenas siete minutos. Los investigadores consideran que este comportamiento indica que probablemente compartían una misma contraseña generada durante un proceso común de aprovisionamiento.

El problema resulta especialmente relevante en las identidades no humanas. Mientras los usuarios convencionales suelen estar sujetos a políticas de cambio de credenciales y otras medidas de seguridad, determinadas cuentas técnicas pueden conservar durante años su contraseña inicial.

Si además utilizan nombres predecibles, carecen de un propietario claramente identificado y están excluidas del MFA, pueden convertirse en un punto de entrada a Microsoft 365.

TeamFiltration automatizó el password spraying

La campaña utilizó TeamFiltration, un framework diseñado inicialmente para pentesting sobre Microsoft 365 y Entra ID, pero que puede ser reutilizado con fines maliciosos.

La herramienta permite automatizar varias fases de un ataque: enumeración de cuentas, password spraying, recopilación de información y mecanismos de persistencia mediante OneDrive. Ya había sido relacionada anteriormente con la actividad UNK_SneakyStrike, que comenzó a atacar más de 80.000 cuentas de Entra ID en diciembre de 2024.

Antes de probar contraseñas, TeamFiltration puede utilizar la API de Microsoft Teams para comprobar si determinadas cuentas existen realmente.

Posteriormente, los atacantes pueden distribuir los intentos de autenticación utilizando infraestructura de AWS. La rotación entre diferentes direcciones IP dificulta que las defensas basadas únicamente en el origen de las conexiones identifiquen y bloqueen el password spraying.

La campaña se desarrolló en tres oleadas entre el 21 de julio y el 16 de agosto. El pico se produjo el 15 de agosto, cuando fueron atacadas aproximadamente 1.560 cuentas. Los siete compromisos confirmados se produjeron durante esta última fase.

¿Qué puede hacer TeamFiltration después de conseguir una contraseña?

Conseguir unas credenciales válidas puede proporcionar al atacante acceso a diferentes recursos asociados a Microsoft 365.

TeamFiltration dispone de capacidades para acceder a conversaciones de Teams, correo electrónico, OneDrive, SharePoint y recursos disponibles mediante Microsoft Graph. También permite utilizar OneDrive como mecanismo de persistencia, navegar por archivos, descargarlos e incluso sustituirlos potencialmente por copias maliciosas.

En esta campaña, las cuentas comprometidas realizaron conexiones con Microsoft Teams, Microsoft Office y OneDrive desde infraestructura alojada en AWS.

La telemetría de autenticación no demuestra por sí misma que los ciberdelincuentes consiguieran robar información. Proofpoint señala, no obstante, que la actividad observada era compatible con las capacidades automatizadas de exfiltración disponibles en TeamFiltration.

Una de las cuentas comprometidas fue utilizada además para iniciar actividades de reconocimiento menos de 90 segundos después de conseguir el acceso.

El MFA impidió que el ataque llegara más lejos

Ese mismo compromiso permite observar también qué ocurrió cuando los atacantes encontraron controles adicionales de seguridad.

Tras acceder a una de las cuentas, el atacante cambió su conexión a un nodo VPN alemán con la dirección 149.88.104.19 e intentó autenticarse en el portal VPN corporativo.

El intento fracasó porque MFA o las políticas de Acceso Condicional bloquearon la entrada.

Posteriormente, la misma identidad accedió a Azure Portal, OfficeHome, SharePoint Online y SharePoint Online Web Client Extensibility. Azure Portal generó entonces una interrupción solicitando el registro de MFA, una señal de que esta protección no estaba configurada previamente para la cuenta comprometida.