Inmobiliaria News

Los actores de amenazas vinculados a la campaña de ransomware Cl0p (también conocido como Chubby Scorpius, FIN11, Graceful Spider y Lace Tempest) están explotando fallas en las implementaciones de PTC Windmill y FlexPLM expuestas a Internet como parte de una nueva campaña de extorsión de datos.

“Los atacantes encadenan una divulgación de información de autenticación previa en el punto final FlexPLM WSDL con una falla del lado del servidor en el servlet de inicio de sesión de Windchill, lo que permite la ejecución remota de código no autenticado y la implementación de shells web JSP con nombres hexadecimales en /Windchill/login/”, según un nuevo aviso coordinado publicado por Ransom-ISAC junto con eCrime.ch y DEFUSED.

Al lograr un punto de apoyo inicial, se descubrió que los atacantes realizaban enumeraciones del sistema de archivos, escenificaban datos de ingeniería/diseño y, en última instancia, llevaban a cabo doble extorsión y robo de datos. Los objetivos de la campaña incluyen los sectores manufacturero, automotriz, aeroespacial y minorista.

Se sospecha que los actores de amenazas están explotando CVE-2026-12569 (puntuación CVSS: 9,3), una falla de seguridad crítica en PTC Windmill que se agregó al catálogo de vulnerabilidades explotadas conocidas (KEV) de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a fines del mes pasado.

En un aviso, PTC advirtió a los clientes que había “recibido informes continuos de una mayor actividad de amenazas”, y agregó que atacantes desconocidos están explotando la vulnerabilidad para implementar shells web JSP contra sistemas susceptibles.

“En las intrusiones observadas, este RCE está encadenado con un defecto separado de divulgación de información previa a la autenticación en el punto final FlexPLM WSDL (CVSS v3.1 7.5) para permitir la explotación no autenticada”, dijeron los investigadores Brandon Parsons, Corsin Camichel y Simo Kohonen.

Ransom-ISAC ha compartido cuatro direcciones IP como indicadores de compromiso (IoC), todas las cuales coinciden con las compartidas por PTC.

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35

Los correos electrónicos de extorsión parecen provenir de cuentas previamente comprometidas y se envían a cientos de usuarios dentro de una organización afectada, junto con formas de contactar al equipo de ransomware Cl0p.

En una publicación separada en X, ReliaQuest dijo que observó actores de amenazas explotando activamente CVE-2026-12569 para facilitar la “ejecución remota de código no autenticado y la implementación de shell web JSP para la ejecución remota de comandos y la exfiltración de datos confidenciales de productos”.

“El actor detrás de estos ataques aún no está confirmado. Sin embargo, el arte observado comparte características con campañas anteriores de Cl0p dirigidas a aplicaciones empresariales y repositorios de datos de alto valor”, añadió.

La pandilla Cl0p tiene un historial de perseguir fallas de seguridad en productos empresariales ampliamente utilizados para ingresar a organizaciones objetivo de robo de datos y ataques de extorsión. Las campañas anteriores montadas por el grupo han convertido en armas dispositivos de transferencia de archivos, incluidos los de Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo y MOVEit Transfer, así como una vulnerabilidad en Oracle E-Business Suite.

Durante años, las campañas de phishing dirigidas a instituciones financieras siguieron el mismo manual. Se engañó a las víctimas para que ingresaran nombres de usuario y contraseñas, los atacantes recopilaron las credenciales y las cuentas se vieron comprometidas más tarde cuando surgió la oportunidad.

Ese modelo está cambiando.

Investigaciones recientes sobre operaciones de phishing centradas en seguros revelan un enfoque más inmediato. En lugar de recopilar credenciales para su uso posterior, los atacantes ahora sincronizan su actividad con las víctimas en tiempo real, autenticándose en portales de seguros legítimos cuando las víctimas completan el proceso de inicio de sesión sin saberlo. Todo el ataque puede desarrollarse en una sola sesión de navegación.

Este cambio pone de relieve una tendencia más amplia en todo el panorama de la ciberseguridad. A medida que las campañas de phishing se vuelven más sofisticadas, ya no basta con identificar sitios web maliciosos y dominios de suplantación de identidad. Las organizaciones necesitan cada vez más comprender la infraestructura, las técnicas y los flujos de trabajo operativos detrás de estos ataques.

Los seguros se han convertido en un objetivo cada vez más atractivo

Los proveedores de seguros han ampliado rápidamente sus servicios en línea. Los clientes ahora pueden comprar pólizas, renovar coberturas, presentar reclamos, administrar cuentas, actualizar información personal y completar pagos completamente a través de portales digitales.

Si bien esto mejora la experiencia del cliente, también crea un entorno atractivo para los actores de amenazas.

A diferencia de los ataques bancarios tradicionales que apuntan principalmente a transacciones financieras, las cuentas de seguros comprometidas a menudo contienen amplia información personal, documentos de identidad, registros de pólizas, métodos de pago y otros datos confidenciales de los clientes que pueden respaldar el fraude mucho más allá del compromiso inicial.

Durante la investigación, se identificó una operación de phishing coordinada dirigida a múltiples proveedores de seguros en varias regiones. En lugar de hacerse pasar por una sola organización, la campaña reutilizó la misma infraestructura operativa en numerosas marcas de seguros, adaptando el lenguaje, la marca y el contenido para adaptarse a los mercados locales. Arabia Saudita parecía ser el objetivo principal, mientras que se observó actividad adicional en Europa, Estados Unidos e India.

Los anuncios de Google se están convirtiendo en el vector de ataque inicial

Una de las observaciones más notables fue el uso constante de anuncios patrocinados de Google como principal mecanismo de entrega.

En lugar de depender de correos electrónicos de phishing o campañas de SMS, los atacantes compran anuncios que aparecen cuando los usuarios buscan cotizaciones de seguros, renovaciones o comparaciones de precios. Los anuncios promocionaban ofertas como “Compare ofertas de seguros de automóvil” o “Seguro a terceros más barato”, animando a los usuarios a hacer clic en lo que parecían ser servicios de cotización legítimos.

Después de hacer clic en el anuncio, las víctimas son redirigidas a sitios web de phishing diseñados para parecerse mucho a proveedores de seguros genuinos. Estos sitios replicaron marcas, interfaces de usuario, flujos de trabajo de cotizaciones y portales de clientes con un nivel de realismo destinado a reducir las sospechas durante la interacción.

La infraestructura que apoyaba estas campañas era igualmente desechable. En lugar de depender de alojamiento malicioso dedicado, los operadores frecuentemente aprovechaban creadores de sitios web legítimos y plataformas de alojamiento gratuitas como GitHub Pages, Netlify, Hostinger, Wix, Lovable y otros servicios en la nube. Los dominios aleatorios con poca o ninguna semejanza con las marcas de seguros permitieron que las campañas rotaran rápidamente y al mismo tiempo redujeron la efectividad de los esfuerzos convencionales de monitoreo de marcas.

El phishing ha evolucionado hacia el secuestro de cuentas en tiempo real

Las campañas de phishing se han utilizado durante mucho tiempo para robar información confidencial, incluida información personal, detalles financieros, datos de tarjetas de pago, registros de seguros y credenciales de cuentas. En muchos casos, el objetivo era recopilar la mayor cantidad de información posible y explotarla posteriormente mediante la apropiación de cuentas, el fraude de identidad o el abuso financiero.

Las modernas campañas de phishing en seguros representan una evolución significativa de este modelo. En lugar de funcionar como páginas estáticas de recopilación de datos, estos portales de phishing interactúan activamente con las víctimas durante todo el proceso de autenticación. A medida que las víctimas envían su información, los atacantes utilizan simultáneamente los datos recopilados para interactuar con el portal de seguros legítimo en tiempo real, convirtiendo la página de phishing en un intermediario vivo entre la víctima y el servicio genuino.

Este enfoque permite a los atacantes superar los mecanismos de autenticación que tradicionalmente limitarían la utilidad de las credenciales robadas. Cuando el proveedor de seguros legítimo envía una contraseña de un solo uso (OTP) u otro desafío de verificación, la página de phishing solicita inmediatamente a la víctima que ingrese el mismo código bajo la apariencia de una verificación de identidad de rutina. Luego, la OTP enviada se transmite al portal legítimo antes de que caduque, lo que permite a los atacantes completar el proceso de autenticación mientras la víctima no se da cuenta.

En lugar de simplemente recopilar información para uso futuro, estas campañas sincronizan cada etapa del proceso de inicio de sesión, lo que permite a los atacantes validar credenciales, satisfacer requisitos de autenticación multifactor y establecer sesiones autenticadas en tiempo real. El resultado es una forma mucho más efectiva de phishing que transforma lo que alguna vez fue un ejercicio de recopilación de datos en una operación activa de secuestro de cuentas, reduciendo significativamente la oportunidad para que las víctimas o los defensores detecten e interrumpan el ataque antes de obtener acceso.

Los kits de phishing modernos funcionan como plataformas operativas

El análisis de la infraestructura de phishing reveló que estas campañas están respaldadas por mucho más que páginas de phishing estáticas.

Durante la investigación, CTM360 identificó un kit de phishing previamente indocumentado y lo nombró Kit InsureOTP. El kit está diseñado específicamente para operaciones de phishing relacionadas con seguros y proporciona gestión de sesiones en vivo, recopilación de datos en tiempo real, administración de backend y múltiples métodos de filtración de datos.

A diferencia de los kits de phishing más antiguos que simplemente enviaban por correo electrónico las credenciales capturadas, este marco permite a los operadores gestionar activamente cada sesión de la víctima.

Las capacidades observadas incluyeron:

• Monitoreo de víctimas en tiempo real
• Paneles administrativos de backend
• Flujos de trabajo de aprobación manual
• Seguimiento de sesiones
• Integraciones de Telegram Bot
• Comunicación API de backend directa
• Manejo de OTP en vivo

Algunas variantes se basaban en las API de Telegram Bot para recibir envíos estructurados de las víctimas al instante, mientras que otras transmitían información directamente a servidores backend controlados por el atacante. Los investigadores también observaron interfaces de backend capaces de solicitar envíos de OTP adicionales cada vez que fallaba la autenticación, lo que permitía a los operadores continuar intentando acceder a la cuenta antes de que caducaran los códigos de autenticación.

Estas capacidades demuestran cómo los kits de phishing continúan evolucionando desde simples recolectores de credenciales hasta plataformas de ataque interactivas diseñadas para comprometer cuentas reales.

La infraestructura puede revelar toda la operación

Uno de los aspectos más valiosos de la inteligencia sobre amenazas cibernéticas es la capacidad de ir más allá de las páginas de phishing individuales y comprender el ecosistema de campaña más amplio.

Durante la investigación, CTM360 identificó recursos backend de acceso público asociados con la infraestructura de phishing. El análisis de los archivos expuestos reveló componentes administrativos, código fuente backend, bases de datos SQLite, registros operativos e infraestructura de soporte que proporcionaron información sobre cómo funcionaba el marco de phishing.

La investigación demuestra por qué la inteligencia sobre amenazas moderna va más allá de la identificación de dominios maliciosos o sitios web de phishing. Al analizar la infraestructura subyacente, las herramientas, los componentes de backend y los flujos de trabajo de los atacantes, los defensores pueden obtener una comprensión mucho más profunda de cómo se desarrollan, gestionan y ejecutan las campañas.

en lugar de preguntar “¿Dónde está la página de phishing?” los investigadores estan preguntando “¿Cómo funciona la campaña?”

Este cambio refleja uno de los cambios más significativos en la inteligencia moderna sobre amenazas cibernéticas, yendo más allá de la detección de amenazas individuales hacia la comprensión de la infraestructura, las herramientas y la metodología operativa del adversario.

Por qué los defensores necesitan un enfoque diferente

La característica definitoria de esta campaña no es simplemente el robo de credenciales; es compromiso de tiempo de sesión.

La respuesta tradicional a incidentes supone que existe un retraso entre el robo de credenciales y el abuso de cuentas. Esa suposición ya no siempre se cumple.

En estas operaciones, la recolección de credenciales, la interceptación de OTP y la adquisición de cuentas se producen como parte de un único flujo de trabajo continuo. Cuando una víctima se da cuenta de que algo anda mal, es posible que el atacante ya se haya autenticado exitosamente y haya obtenido acceso a la cuenta legítima.

Para los defensores, esto significa que la detección no puede depender únicamente de la identificación de dominios de phishing después de que aparecen en línea.

Las organizaciones deben monitorear los anuncios pagados que abusan de sus marcas, los dominios similares recién registrados, la infraestructura de phishing desechable alojada en la nube y los patrones de autenticación que indican una interceptación de OTP en tiempo real.

Igualmente importante es comprender el ecosistema de atacantes detrás de estas campañas en lugar de tratar cada sitio de phishing como un incidente aislado.

Mirando más allá de la página de phishing

Las campañas de phishing en seguros son un claro ejemplo de cómo las amenazas externas siguen evolucionando.

Los atacantes están optimizando la velocidad, la automatización y el acceso inmediato en lugar de retrasar la explotación. La infraestructura es cada vez más desechable, los kits de phishing se están convirtiendo en plataformas operativas y el compromiso de la cuenta ahora ocurre durante la sesión activa de la víctima y no después.

Para los defensores, esto refuerza una realidad importante. Ya no basta con identificar sitios web maliciosos. Los equipos de seguridad necesitan cada vez más inteligencia contextual que conecte la infraestructura, los flujos de trabajo de los atacantes, las herramientas y el comportamiento de las campañas para comprender cómo evolucionan las amenazas y dónde pueden interrumpirse antes de que lleguen a los clientes.

Esto también refleja un cambio más amplio que se está produciendo en toda la industria de la ciberseguridad. La protección contra riesgos digitales (DRP) se ha centrado tradicionalmente en identificar amenazas externas, como sitios web de phishing, suplantación de marcas y dominios maliciosos. Hoy en día, las organizaciones requieren cada vez más de Cyber ​​Threat Intelligence (CTI) que explique cómo operan las campañas, cómo se conecta la infraestructura de los atacantes, cómo evolucionan los kits de phishing y cómo los adversarios ejecutan y adaptan sus operaciones.

CTM360 ha experimentado esta misma evolución, expandiéndose desde una plataforma de protección de riesgos digitales a una plataforma más amplia de inteligencia contra amenazas cibernéticas. A principios de este año, CTM360 fue reconocido como uno de los proveedores incluidos en el Magic Quadrant™ inaugural de Gartner para tecnologías de inteligencia contra amenazas cibernéticas.

Si bien esta investigación se centra en una campaña de phishing de seguros, también demuestra por qué los programas de seguridad modernos requieren inteligencia que va más allá de identificar indicadores individuales para comprender las operaciones completas del adversario.