La autenticación es uno de los eslabones más frágiles cuando los atacantes aprenden a “disfrazar” el engaño dentro de procesos que parecen normales. En un informe reciente, Google Threat Intelligence Group (GTIG) detalla campañas de ciberespionaje atribuidas a clústeres sospechosos vinculados a actores rusos, que abusan de funciones legítimas para comprometer cuentas de personas en ámbitos como academia, aeroespacio y defensa, además de gobiernos y think tanks en Europa y EE. UU.
Uno de los puntos más preocupantes es el abuso OAuth WhatsApp: la combinación de phishing con redirecciones hacia páginas de inicio de sesión reales y el “enlace” de dispositivos, lo que facilita el robo de tokens y el secuestro posterior de cuentas.
Por qué el abuso de flujos legítimos complica la detección
Tradicionalmente, el phishing depende de que la víctima introduzca credenciales en una página falsa. En estas campañas, el enfoque es más sutil: los atacantes guían a la víctima a un sitio controlado por ellos, donde se simula una interacción esperada. Luego, la persona es redirigida a un flujo auténtico (por ejemplo, de OAuth), y el atacante intenta obtener el valor que habilita el acceso.
Según GTIG, los clústeres identificados (UNC6293, UNC7005 y UNC5976) combinan ingeniería social persistente y adaptativa con técnicas que atacan varios tipos de autenticación. El resultado es que es más difícil distinguir el intento malicioso de un acceso legítimo.
UNC6293: phishing selectivo con “apparent apps” y lenguaje diplomático
GTIG vincula a UNC6293 con Ice Relic (también rastreado con nombres como Cozy Bear y Midnight Blizzard). Este clúster fue descrito inicialmente en junio de 2025 por Google y Citizen Lab, y se evaluó como parte de un subgrupo.
En el pasado, el grupo habría abusado de la función de Google conocida como application specific passwords para tomar control de cuentas. En campañas posteriores, el patrón se volvió más selectivo: los investigadores señalan que solían apuntar a menos de cinco usuarios por operación.
Un detalle operativo relevante es el uso de suplantación: los atacantes impersonaban a funcionarios y vinculaban el señuelo a temas diplomáticos, conferencias o reuniones. GTIG indica que, al menos hasta junio de 2026, también se observaron intentos de phishing con OAuth donde se pedía a la víctima compartir una URL completa o un código de verificación, tras realizar un inicio de sesión legítimo en un proveedor externo. Una vez entregado ese dato, los atacantes podían acceder a la cuenta.
UNC5976: páginas falsas que redirigen a OAuth y roban tokens
El segundo clúster con fuerte foco en autenticación es UNC5976, considerado activo desde al menos marzo de 2026. A diferencia de campañas que dependen únicamente de formularios, aquí se describen páginas que imitan un servicio de compartición de archivos.
GTIG explica que el adversario habría comprado dominios —a menudo con nombres relacionados con file sharing— y, a partir de ellos, habría creado un proyecto en la nube asociado al dominio. Cuando la víctima visita la página durante unos segundos, aparece un cuadro emergente de inicio de sesión.
La interacción clave gira alrededor de un botón del estilo “Continue with Google”. Si la víctima lo pulsa, se le dirige al flujo de OAuth de Google para firmar e “ingresar para continuar”. Tras la autenticación exitosa, la víctima termina redirigida a una URL dentro de un proyecto en la nube controlado por el atacante. Allí, se ejecutan scripts con el objetivo de extraer el token desde la URL y prepararlo para uso posterior.
De acuerdo con GTIG, se habrían creado al menos 12 dominios y estructuras asociadas desde marzo de 2026, con posterior interrupción por parte de Google. También se indica un cambio de estrategia: al ser bloqueada la infraestructura de Google, el actor habría pivotado hacia otros proveedores.
Además de OAuth: complementos maliciosos y señuelos con instituciones
El informe también menciona que UNC5976 aprovechó un complemento de Excel no autorizado, apodado HEADRUSH, para entregar una aplicación HTML (HTA) descargada. Según los hallazgos de abril de 2026, la distribución se hacía mediante un dominio falso que imitaba a un instituto de investigación ucraniano.
GTIG señala señales de posible impacto contra una empresa ucraniana de aeroespacio e imagen, aunque el alcance total no quedó confirmado. En términos de objetivos, el énfasis operativo se centra en el sector militar, aeroespacio y defensa, así como en ONG/think tanks, con concentración geográfica en Ucrania y Armenia.
UNC7005: de device code phishing a enlaces fraudulentos de WhatsApp
El foco principal del estudio de GTIG recae en UNC7005 (también conocido como Storm-2945). Este clúster fue identificado en febrero de 2026 y, según los datos disponibles, prioriza a personal de academia, diplomacia y organizaciones sin fines de lucro en Ucrania, Europa occidental y EE. UU.
Los investigadores vinculan a UNC7005 con un subgrupo de Ice Relic que realiza operaciones de “acceso inicial”, apoyándose luego en proxies residenciales comerciales para actividades posteriores.
Uno de los vectores mencionados es el phishing de device code contra cuentas de Microsoft y WhatsApp. En el caso de Microsoft, GTIG describe correos que incluyen invitaciones a eventos diplomáticos y conferencias. Los mensajes incorporan enlaces a un sitio controlado por el atacante que perfila al visitante y pide confirmar participación, además de datos como país y preferencias.
Para WhatsApp, en mayo y junio de 2026 se reportan operaciones de ingeniería social que simulan acciones para “vincular” la cuenta con un dispositivo controlado por el adversario. GTIG indica que las páginas de phishing inducen a la víctima a enlazar su WhatsApp con un dispositivo del atacante para unirse a una “secure WhatsApp call”, un chat o un intercambio de documentos.
Cómo funciona el enlace: QR, códigos y prompts posteriores
El flujo descrito por GTIG comienza cuando la víctima accede a la página y se le pide proporcionar un número de teléfono. Con ese dato, el atacante genera una solicitud legítima de enlace de dispositivo hacia el sistema de WhatsApp, mostrando luego el QR y el código de vinculación, junto con instrucciones para completar el enlace.
Una vez que la cuenta de WhatsApp queda enlazada al dispositivo del atacante, la página presenta opciones adicionales: unirse a una llamada de voz, iniciar un chat cifrado o descargar un archivo. Si la víctima elige la llamada de voz, se ejecuta JavaScript para registrar audio y video y enviarlo a un endpoint de mando y control (C2).
Si se opta por el chat cifrado, el JavaScript solicita copiar un nombre de usuario y una contraseña visibles en la pantalla, para iniciar sesión en una URL secundaria. El tipo exacto de archivo en el escenario de “descargar” no se especifica en el informe.
Señuelos recurrentes y evolución hacia OAuth en la nube
GTIG resalta que el uso de señuelos ligados a vino y eventos aparece como un tema recurrente dentro de actividades asociadas a Ice Relic, con menciones anteriores en otros reportes. Asimismo, en torno a mayo de 2026 se indica que UNC7005 amplió su arsenal con infostealers comerciales (como Vidar y Atomic) para extraer datos de hosts Windows y macOS.
Estos accesos se combinan con correos con enlaces a recursos maliciosos, que dirigen a páginas falsas que imitan un evento o cumbre. Allí, se invita a descargar una aplicación asociada para “leer la resolución” completa.
En agosto de 2026, GTIG informa sobre operaciones de phishing OAuth contra cuentas de Google utilizando infraestructura en la nube. Además, se reporta que a partir del 31 de julio de 2026 se registraron dominios que suplantaban el Finnish Operations Center (FOC), entidad vinculada al sector defensa y seguridad en el contexto de la OTAN.
Entre el 6 y el 13 de agosto de 2026, se enviaron correos dirigidos hacia objetivos en o relacionados con la industria de defensa europea, con redirecciones hacia una página de inicio de sesión OAuth. Tras la autenticación, las víctimas serían enviadas a un proyecto en la nube no verificado controlado por el atacante para robar tokens y posibilitar el secuestro de cuentas.
Relación con CaptiveCrunch y posibles ataques de cadena de suministro
Este conjunto de tácticas no actúa aislado. GTIG conecta la actividad con una campaña llamada CaptiveCrunch, documentada previamente por ReliaQuest y Microsoft, enfocada en portales Wi‑Fi cautivos en lugares como hoteles, centros de conferencias y aeropuertos. El objetivo allí es redirigir de forma sigilosa hacia infraestructura controlada por el atacante para extraer credenciales.
En esa fase, se describen acciones como la obtención de acceso administrativo a gateways Wi‑Fi y el uso de técnicas como DNS poisoning para desviar tráfico web hacia infraestructura del adversario. Se indica que Microsoft considera estas manipulaciones en curso desde inicios de mayo de 2026.
Además, el informe menciona que parte del enfoque utiliza dominios “gemelos” (doppelganger) que imitan servicios en línea de Microsoft para llevar a cabo phishing tipo adversary-in-the-middle (AitM) y abusar del flujo de autenticación basado en device code en Microsoft Entra ID.
En el escenario de distribución de malware, la posición AitM también permitiría entregar payloads que se hacen pasar por actualizaciones del navegador o del sistema tras comprobaciones automáticas de conectividad. Se mencionan un troyano de acceso remoto escrito en Go (CornFlake RAT) y un infostealer en PowerShell (ChocoShell, también conocido como CHERRYPIE).
El puente hacia el secuestro de cuentas
Según GTIG, CaptiveCrunch sería una herramienta para obtener acceso y luego habilitar otras campañas de phishing contra cuentas valiosas. El motivo es simple: una vez que el atacante controla cuentas legítimas, puede dirigirse mejor a sus objetivos.
Por su parte, Lumen Black Lotus Labs introduce la posibilidad de una compromiso de proveedores gestionados (Managed Service Providers, MSP) y posterior abuso de la confianza en una cadena de suministro. Se describe que, una vez dentro de las redes de clientes, el actor podría apuntar a viajeros mediante la interceptación de solicitudes DNS en un router Wi‑Fi comprometido, redirigiendo hacia portales falsos para capturar tokens OAuth o desplegar infostealers.
Como referencia de telemetría, Lumen indica haber identificado alrededor de 70 direcciones IP víctimas, donde 40 generaron solicitudes DNS hacia C2 asociados a CaptiveCrunch. Otras 30 IPs comunicaron con la infraestructura AitM del atacante para capturar tokens, y se reporta una IP interactuando con el C2 de ChocoShell.
Qué puedes hacer para reducir el riesgo
Aunque el detalle técnico es complejo, los principios para defenderse suelen ser claros: desconfiar de enlaces no esperados, verificar el origen de invitaciones y evitar introducir códigos o tokens que te pidan compartir.
En particular, el abuso OAuth WhatsApp muestra un riesgo adicional: incluso cuando el usuario llega a una pantalla de inicio de sesión legítima, el contexto puede estar manipulado. Por eso, revisa cuidadosamente la dirección a la que te redirigen y los motivos por los que se solicita “continuar” o vincular dispositivos.
También ayuda usar autenticación multifactor (MFA) cuando sea posible, preferir métodos resistentes al phishing, y entrenar a equipos (especialmente en sectores como academia, defensa y diplomacia) para reconocer señales de señuelos recurrentes: urgencia, invitaciones a eventos y solicitudes de datos inusuales durante la verificación.
Conclusión
Las campañas descritas por GTIG muestran una tendencia preocupante: los atacantes no solo roban credenciales, sino que aprovechan funciones diseñadas para ser seguras (como OAuth y los mecanismos de enlace de dispositivo) dentro de escenarios de ingeniería social.
Cuando el abuso OAuth WhatsApp se combina con redirecciones hacia infraestructura controlada por el adversario, el resultado puede ser el robo de tokens y el secuestro de cuentas incluso después de “entrar” correctamente. La mejor defensa es una mezcla de verificación cuidadosa, buenas prácticas de identidad y formación continua para detectar intentos que imitan interacciones legítimas.
Fuente: https://thehackernews.com/2026/08/suspected-russian-hackers-abuse-google.html
