Proteja la MFA frente a proxies de phishing con F5 BIG-IP APM y Distributed Cloud Bot Defense

Jim Downey

Las empresas que protegen las cuentas de usuario mediante la autenticación de dos factores (2FA) deberían adoptar la medida adicional de defenderse frente a los proxies de phishing en tiempo real, que permiten a los ciberdelincuentes eludir las medidas de autenticación multifactor (MFA) y tomar el control de las cuentas. Afortunadamente, los clientes de F5 BIG-IP Access Policy Manager (APM) disponen de una opción sencilla: añadir F5 Distributed Cloud Bot Defense para bloquear eficazmente estos proxies.

¿Qué son los proxies de phishing en tiempo real?

Un ataque de phishing mediante proxy en tiempo real comienza con un mensaje de phishing enviado por SMS, correo electrónico o a través de una página web. El mensaje de phishing contiene un enlace que dirige al usuario a un dominio controlado por el atacante, diseñado para redirigir todas las solicitudes a la aplicación objetivo. Desde la perspectiva del usuario, todo parece legítimo, salvo el nombre de dominio, que suele elegirse de modo que se parezca mucho al auténtico.

Engañado por el proxy de phishing, el usuario introduce sus credenciales. En el caso de la autenticación de un solo factor, basta con introducir las credenciales para que el atacante pueda acceder a la cuenta. En el caso de la autenticación de doble factor (2FA), el proxy de phishing en tiempo real envía las credenciales a la aplicación legítima, lo que activa la solicitud de 2FA. Por desgracia, como el usuario sigue creyendo que está interactuando con la aplicación legítima, es probable que complete el proceso de 2FA y acepte cualquier solicitud que se le presente.

Los proxies inversos de phishing pueden vulnerar casi todas las formas de autenticación de dos factores:

• 2FA basada en el servicio de mensajes cortos (SMS). En la 2FA mediante SMS, el sistema de autenticación envía al usuario un mensaje de texto con una contraseña de un solo uso (OTP), que este introduce en la aplicación. Durante un ataque de phishing mediante proxy, el usuario introduce la contraseña directamente en la aplicación maliciosa, que la reenvía a la aplicación legítima y permite así el acceso al ciberdelincuente. La misma lógica se aplica a la 2FA cuando la OTP se envía por correo electrónico. Si el mecanismo requiere que el usuario introduzca la OTP en una aplicación, un ataque de phishing mediante proxy en tiempo real puede obtener acceso a dicha OTP.
• 2FA mediante token de hardware. Los tokens de hardware, que son dispositivos físicos que generan claves a intervalos de tiempo fijos mediante un algoritmo criptográfico, cumplen la misma función que los códigos OTP en la 2FA basada en SMS. El usuario consulta el dispositivo e introduce la clave en la aplicación. Si un proxy de phishing en tiempo real le engaña para que introduzca esa clave en una aplicación maliciosa, el atacante obtiene acceso a la cuenta. En cierto modo, que el token se envíe por SMS o correo electrónico, o que se genere mediante hardware, no supone ninguna diferencia para el proxy de phishing en tiempo real. (En cambio, las llaves de seguridad de hardware FIDO2/U2F no son vulnerables al phishing porque el navegador colabora con la llave para vincularla al origen.)
• 2FA basada en aplicaciones. Las aplicaciones móviles de autenticación, como Google Authenticator y Duo Mobile, generan tokens de forma muy similar a los dispositivos físicos. También en este caso, se espera que los usuarios introduzcan el token en la aplicación. Si se engaña al usuario para que introduzca el token en una aplicación maliciosa, el atacante obtiene acceso a la aplicación legítima.
• 2FA basada en notificaciones push. Ciertamente, cualquier mecanismo de 2FA que implique que el usuario introduzca una OTP en una aplicación puede vulnerarse engañándolo para que la introduzca en una aplicación maliciosa. Pero ¿qué ocurre con la 2FA basada en notificaciones push, que no requiere que el usuario introduzca una OTP en una aplicación? En un sistema basado en notificaciones push, cuando la aplicación recibe una solicitud de inicio de sesión, envía una solicitud a un sistema de notificaciones push, lo que hace que el usuario reciba una notificación en su dispositivo móvil. El usuario solo tiene que pulsar una vez para aceptar la solicitud. Cuando lo hace, el sistema de notificaciones push realiza una llamada a la API de la aplicación para indicar que la autenticación push se ha completado correctamente, y la aplicación finaliza el proceso de autenticación y concede acceso al usuario. En este caso, el proxy de phishing nunca recibe el token, ya que este se envía directamente a la aplicación. No obstante, el delincuente consigue acceder a la cuenta porque la aplicación termina enviando el token de sesión autenticada a través del proxy, lo que permite al atacante capturarlo y utilizarlo para acceder a la aplicación suplantando la identidad de la víctima.

Proxies de phishing en tiempo real como servicio

Cabe esperar que aumenten los ataques mediante proxies de phishing en tiempo real, ya que los servicios de proxy de phishing (PhaaS), como EvilGinx, Muraena y Modlishka, hacen que sea sumamente fácil para los ciberdelincuentes al proporcionarles todo lo necesario para lanzar estos ataques:

• Plantillas de correos electrónicos de phishing que engañan a los usuarios para que visiten sitios maliciosos
• Servidores web alojados que imitan las aplicaciones objetivo
• Bases de datos para almacenar credenciales robadas
• Monitorización en tiempo real
• Mecanismos defensivos para frustrar a los investigadores de seguridad
• Documentación y atención al cliente

Cómo Distributed Cloud Bot Defense mitiga los proxies de phishing en tiempo real

El tráfico que pasa por un proxy de phishing presenta características distintivas: el nombre de dominio no coincide con el del sitio real, el HTML y JavaScript pueden modificarse para adaptarse al cambio de nombre de dominio, y los patrones temporales y las firmas TLS pueden verse alterados. Mediante muchas de las mismas señales del lado del cliente y de la red que se utilizan para distinguir a los bots de los humanos, Distributed Cloud Bot Defense puede detectar las anomalías que caracterizan a los proxies de phishing en tiempo real y, de este modo, neutralizar una de las amenazas más habituales contra la MFA.

Por qué las empresas deberían combinar BIG-IP APM y Distributed Cloud Bot Defense para protegerse frente al phishing en tiempo real

BIG-IP APM es una solución flexible y de alto rendimiento para gestionar el acceso a aplicaciones y API. Proporciona servicios de autenticación a las aplicaciones mediante la conexión de servicios de identidad empresariales, como Active Directory, proveedores LDAP y RADIUS, con protocolos de autenticación modernos, como SSO, federación de acceso, OAuth 2.0, SAML y OIDC.

BIG-IP APM incluye compatibilidad con la autenticación reforzada, y ofrece de serie autenticación de dos factores (2FA) mediante contraseñas de un solo uso (OTP) por SMS. Además, BIG-IP APM se integra con la mayoría de las principales soluciones de autenticación multifactor (MFA), incluidas las de Cisco Duo, Okta, Azure AD, entre otras.

Debido al papel central que desempeña BIG-IP APM en el proceso de autenticación de muchas empresas, es el lugar ideal para implementar Distributed Cloud Bot Defense y proteger a los usuarios frente a ataques de proxy de phishing en tiempo real que utilizan la automatización para eludir las medidas de protección de MFA.

Próximos pasos

Para obtener más detalles técnicos, consulte el artículo de F5 DevCentral sobre la configuración de Distributed Cloud Bot Defense en BIG-IP APM

Sobre el autor

Jim Downey

Más artículos de Jim Downey