Microsoft obtuvo una orden judicial para incautar dominios.
Raccoon0365 atacó a más de 2.300 organizaciones con campañas de phishing con temática fiscal en febrero.
Los operadores generaron 100.000 dólares en criptomonedas desde julio de 2024, según Microsoft.
Microsoft Inc. anunció el martes la incautación de casi 340 sitios web vinculados a un servicio nigeriano de rápido crecimiento que permitía a los usuarios realizar operaciones de phishing que robaron al menos 5.000 credenciales de usuario de Microsoft. Microsoft obtuvo una orden del Tribunal de Distrito de EE.UU. en Manhattan a principios de este mes para incautar los dominios asociados con Raccoon0365, el servicio de suscripción que permitía a los usuarios realizar campañas masivas de phishing, que en ocasiones involucraban miles de correos electrónicos a la vez, según Steven Masada, asesor general adjunto de la Unidad de Delitos Digitales de Microsoft.
El servicio de Raccoon0365, que opera a través de un canal privado de Telegram con más de 850 suscriptores, permite a los usuarios suplantar la identidad de marcas de confianza y conseguir que sus víctimas ingresen las credenciales de inicio de sesión de Microsoft en páginas de inicio de sesión falsas, según declaró Masada en un blog, abre una nueva pestaña, publicado en el sitio web de Microsoft.
El servicio ha generado para su pequeño grupo de operadores al menos 100.000 dólares en pagos de criptomonedas desde su lanzamiento en julio de 2024, según Masada en el blog. Microsoft afirmó que la incautación de los sitios web se produjo a principios de este mes.
Microsoft identificó a Joshua Ogundipe, residente en Nigeria, como el líder y principal operador de Raccoon0365. Ogundipe no respondió de inmediato a una solicitud de comentarios enviada por correo electrónico a la dirección identificada por Microsoft en su expediente judicial.
«Los ciberdelincuentes no necesitan ser sofisticados para causar daños generalizados», afirmó Masada. «Herramientas sencillas como Raccoon0365 hacen que el cibercrimen sea accesible a prácticamente cualquier persona, poniendo en riesgo a millones de usuarios».
Los suscriptores de Raccoon0365 han atacado a una amplia gama de industrias, afirmó Masada, y otros documentos judiciales alegan que «una parte significativa» de la actividad de Raccoon0365 se dirige a organizaciones con sede en la ciudad de Nueva York. Masada afirmó que Microsoft identificó lo que afirmó ser una estrategia relacionada con Raccoon0365, que utilizaba correos electrónicos de phishing con temática fiscal para atacar a más de 2.300 organizaciones, principalmente en EE.UU., entre el 12 y el 28 de febrero de este año, según un blog de la compañía publicado en abril.
Errol Weiss, director de seguridad del Centro de Intercambio y Análisis de Información de Salud (Health-ISAC), que brinda servicios de ciberseguridad a las organizaciones de salud miembros y es codemandante junto con Microsoft, afirmó que Raccoon0365 se ha vinculado con la sustracción exitosa de credenciales mediante campañas de phishing en al menos cinco organizaciones de atención médica anónimas, y que en total atacaban a 25 organizaciones del sector salud.
Una vez que los hackers obtienen ese acceso, pueden ocurrir diversas cosas, afirmó Weiss.
«Muchos de los ataques comienzan porque alguien le dio su nombre de usuario y contraseña a un delincuente», declaró Weiss en una entrevista. Una vez que el ciberdelincuente accede a la red, todo depende de su imaginación y de cómo lo monetizan.
Los operadores de Raccoon0365 utilizaron servicios de Cloudflare para ocultar la infraestructura de backend del servicio, según declaró la empresa de servicios de internet en su blog. Cloudflare colaboró con Microsoft y el Servicio Secreto de EE.UU. para interrumpir las operaciones de Raccoon0365 en su plataforma e impedir que los operadores establecieran nuevas cuentas, según la compañía.
Blake Darché, jefe de inteligencia de amenazas de Cloudflare, declaró en una entrevista que los operadores de Raccoon0365 cometieron algunos errores clave de seguridad operativa, pero fueron muy eficaces.
«Están en las cuentas de la gente, comprometen a mucha gente y, obviamente, hay que detenerlos», afirmó.
