Tras las conferencias de hacking Black Hat y Def Con de este verano, un ciberdelincuente lanzó una campaña de phishing dirigida a los asistentes, utilizando documentos de Google falsos y suplantando a un ejecutivo de medios. La firma de seguridad Huntress documentó el ataque en un blog publicado el 19 de agosto, detallando cómo uno de sus investigadores fue el objetivo.

La estrategia del atacante

El atacante se hizo pasar por el vicepresidente y director de marketing de CoinDesk, un conocido sitio de noticias sobre criptomonedas. A través de la red social X, contactó a varios profesionales de la ciberseguridad, tanto en respuestas públicas como en mensajes directos, preguntándoles si asistirían a una supuesta conferencia ficticia organizada por el medio. Según Huntress, el investigador detectó el engaño pero decidió seguir la corriente para analizar las tácticas empleadas. El atacante se comunicaba en un inglés con errores, según los investigadores.

El siguiente paso fue compartir un enlace a un Google Doc que aparentaba ser un documento de planificación para la conferencia. Sin embargo, la página no era un simple señuelo. Huntress explicó que el documento utilizaba Google Apps Script para mostrar un panel lateral personalizado que simulaba estar cifrado. El usuario debía introducir una «clave de descifrado» proporcionada por el atacante en los mensajes directos. Al hacerlo, el panel ofrecía dos opciones: instrucciones estilo ClickFix y una descarga, ambas diseñadas para ejecutar código malicioso en el sistema de la víctima.

«El Google Doc era más que un simple señuelo de phishing que lleva a una página web maliciosa. Si un usuario autenticado de Google lo abría, se presentaba un panel lateral personalizado de Google Apps Script junto al documento», explicó Huntress en su informe.

Una campaña persistente

A pesar de que el investigador no cayó en la trampa, el atacante no se rindió. Al día siguiente, envió un segundo señuelo, esta vez disfrazado de un enlace de Dropbox DocSend. Este enlace conducía a un instalador falso de DocSend que, al ejecutarse, desplegaba diferentes cargas maliciosas según el sistema operativo de la víctima.

Para los usuarios de macOS, el malware era un infostealer conocido como AMOS, capaz de robar información confidencial. En el caso de Windows, el atacante instalaba un programa diseñado para robar criptomonedas de las carteras de Ledger, junto con un proxy de interceptación de tráfico que ayudaba al malware a evadir los controles de seguridad, incluyendo aquellos basados en VirusTotal.

«En conjunto, los dos señuelos muestran cómo el atacante utilizó plataformas familiares para generar credibilidad y mantener el interés de la víctima», señaló Huntress. Al combinar mensajes directos en redes sociales con servicios legítimos de documentos y archivos, el actor creó un flujo de trabajo aparentemente normal para engañar a sus objetivos.

Cuando el investigador siguió sin picar, el atacante cambió de táctica. Preguntó si conocía a alguien interesado en financiación de hasta 1 millón de dólares, otra posible artimaña para robar credenciales o información personal identificable (PII), según hipotetizó Huntress.

Consejos para los asistentes a conferencias

Huntress advierte que cualquier persona que haya regresado recientemente de una conferencia debe estar atenta a mensajes que parezcan legítimos pero que lleven a documentos o instaladores donde se pida al usuario realizar acciones que los controles de seguridad normalmente bloquearían. «Las solicitudes inesperadas para ejecutar comandos de terminal, omitir Gatekeeper, instalar una actualización manual o introducir la contraseña del dispositivo son indicadores sólidos de un intento de compromiso, no de una solución de problemas rutinaria», concluye la compañía.

Si un usuario ha interactuado con este tipo de mensajes, Huntress recomienda aislar el sistema de la red, recopilar pruebas forenses y considerar reformatear el equipo, asumir que las credenciales están comprometidas, revocar sesiones activas, restablecer contraseñas y rotar claves API o cualquier otro secreto almacenado en el sistema. También recomienda revisar las carteras de criptomonedas si es relevante.

El atacante no respondió a los mensajes de TechCrunch cuando el medio intentó contactarlo a través de X. Por su parte, Google no hizo comentarios sobre si la compañía había detectado esta campaña u otras similares.