La empresa Barracuda ha detectado una nueva campaña de phishing que evade las técnicas convencionales al crear la página fraudulenta directamente en el navegador de la víctima, sin necesidad de un sitio web externo tradicional.
En lugar de alojar un portal de phishing en un servidor público, esta campaña utiliza una URL tipo blob, una dirección temporal que apunta a contenido almacenado en la memoria local del navegador. Esto dificulta la detección, ya que no existe una URL de phishing persistente que pueda ser bloqueada o analizada por las herramientas de seguridad tradicionales.
Además, la campaña aprovecha servicios oficiales de Microsoft, incluyendo Microsoft OAuth y Microsoft Teams, por lo que los usuarios suelen confiar en el contenido y no detectan signos evidentes de peligrosidad. 
Según Ashitosh Deshnur, analista de amenazas en Barracuda, «este ataque demuestra cómo el phishing evoluciona más allá de los sitios web falsos y dominios sospechosos, eliminando muchos de los indicadores que los equipos de seguridad solían utilizar para detectar estas amenazas».
Cómo funciona el ataque
La campaña comienza con un correo electrónico que simula provenir de DocuSign, adjuntando una invitación de calendario. A simple vista no parece maliciosa porque incluye un enlace legítimo a Microsoft OAuth, otorgando una apariencia de autenticidad.
Desde ahí, un redireccionamiento cuidadosamente diseñado lleva al usuario a Microsoft Teams, que a su vez carga un recurso externo alojado en cdn.bloom[.]io. El navegador convierte este contenido en una URL tipo blob, que se ejecuta localmente y muestra la página de phishing dentro del propio navegador.
Una vez que la página está activa, se registra un service worker, un componente del navegador que controla las solicitudes de red y el comportamiento de la página en segundo plano.
Parte del proceso también se realiza dentro de un iframe en modo sandbox, es decir, una ventana aislada dentro de la página, lo que permite manejar la navegación y coordinar la experiencia engañosa sin que el usuario pueda percatarse de que está ante un fraude.
Una campaña difícil de detectar
Esta táctica representa un importante desafío para la ciberseguridad, ya que no existe un sitio web tradicional que se pueda bloquear o analizar previamente. Las herramientas de seguridad no encuentran la URL de phishing para filtrar ni rastrear.
El uso de servicios confiables de Microsoft a lo largo de toda la cadena de ataque dificulta aún más la identificación, y la inclusión de una invitación de calendario legitima el mensaje como si fuera una comunicación empresarial habitual.
Además, la acción maliciosa recibe instrucciones desde una infraestructura de control remota mediante mecanismos de mensajería del navegador, lo que permite a los atacantes modificar en tiempo real los destinos o comportamientos del fraude, aumentando su flexibilidad y capacidad para eludir controles.
La necesidad de nuevas técnicas de detección
Para Muhammad Yahya Patel, asesor en ciberseguridad para la región EMEA de Huntress, esta campaña pone en evidencia que los métodos de detección basados en localizar URLs maliciosas ya no son suficientes.
«Las soluciones tradicionales de seguridad de correo electrónico, los escáneres de URLs y los filtros web se centran en identificar destinos maliciosos. Esta campaña elimina dicho destino; la superficie de ataque únicamente existe en el navegador del objetivo durante la sesión y luego desaparece», explicó Patel.
Por ello, recomienda que la detección evolucione hacia la monitorización del comportamiento del navegador, prestando atención a la creación de URLs en contextos inusuales y a comportamientos anómalos después de interacciones con invitaciones de calendario.
Estas pautas se pueden detectar, pero requieren visibilidad a nivel del endpoint, es decir, del dispositivo del usuario, en lugar de confiar únicamente en análisis en la red o en los gateways de correo electrónico.
