CoPhish: nueva técnica que usa agentes de Copilot Studio para robar tokens OAuth

Resumen del hallazgo

Investigadores han identificado una nueva técnica de phishing denominada «CoPhish» que aprovecha los agentes de Microsoft Copilot Studio para inducir a usuarios a conceder permisos OAuth a aplicaciones maliciosas. Según el informe original, los atacantes hospedan o orquestan solicitudes de consentimiento fraudulentas usando dominios legítimos y de confianza de Microsoft, lo que aumenta las posibilidades de éxito del engaño y facilita el robo de tokens de acceso.

Qué es CoPhish y por qué importa

CoPhish combina dos elementos que la hacen especialmente peligrosa para entornos corporativos y de nube: el uso de la infraestructura y dominios de confianza de Microsoft (lo que reduce las señales habituales de phishing) y la explotación del flujo de consentimiento OAuth, que puede otorgar acceso persistente a cuentas y datos sin necesidad de robar credenciales tradicionales.

• OAuth es un estándar de autorización ampliamente utilizado para delegar acceso entre aplicaciones y servicios sin compartir contraseñas. Un token OAuth válido puede permitir acceso a correo, archivos y APIs.
• Copilot Studio permite crear agentes y flujos automatizados; si un atacante consigue que un agente presente una pantalla de consentimiento fraudulenta bajo un dominio legítimo, es más probable que usuarios menos cautelosos acepten permisos.
• Los tokens robados evitan controles como contraseñas y, en algunos escenarios, pueden sortear factores de autenticación si ya se ha concedido el consentimiento adecuado.

Contexto histórico y casos comparables

El abuso del flujo de consentimiento OAuth no es nuevo: durante años los actores maliciosos han registrado aplicaciones o aprovechado integraciones legítimas para inducir a usuarios a aceptar permisos que dan acceso a datos corporativos. Grandes proveedores de identidad y servicios en la nube, incluidos Microsoft y Google, han publicado guías y herramientas para mitigar estos riesgos porque el problema es ampliamente conocido en la comunidad de seguridad.

• Los ataques de «consent phishing» han sido una causa recurrente de brechas en entornos cloud, ya que una vez concedido el permiso, el atacante puede usar tokens de acceso para exfiltrar correo y documentos.
• Empresas de seguridad y proveedores de identidad recomiendan revisar periódicamente las aplicaciones con consentimiento y restringir la capacidad de los usuarios para dar acceso a apps de terceros.
• Las técnicas han evolucionado aprovechando tanto dominios maliciosos como, en casos más sofisticados, vectores que usan dominios o componentes de terceros legítimos —lo que incrementa la dificultad de detección—.

Análisis para practicantes: cómo opera CoPhish y señales para detectar

En términos operativos, CoPhish explota la confianza en los dominios y servicios de Microsoft para presentar pantallas de consentimiento falsas o manipuladas. Para equipos de seguridad y administradores de Microsoft 365 / Azure AD, esto plantea una serie de vectores de riesgo y puntos de detección clave.

Comentario experto: «El riesgo principal no es solo que un token sea robado, sino que ese token permite continuidad operativa al atacante. La detección temprana requiere correlación entre concesiones de permisos, actividad anómala de APIs y el contexto del inicio de sesión.» — Analista de seguridad

Indicadores y señales a vigilar:

• Concesiones de consentimiento inusuales fuera de horarios laborales o desde ubicaciones atípicas.
• Nuevo «Enterprise Application» o app registrada en Azure AD con permisos amplios de API (Mail.Read, Files.ReadWrite, etc.).
• Actividad de API consistente con extracción masiva de correos o archivos inmediatamente después de una nueva autorización.
• Alertas de Microsoft 365 Defender o registros de Sign-ins que muestren tokens usados desde sesiones no asociadas a inicios de sesión normales del usuario.

Riesgos, implicaciones y recomendaciones accionables

Los principales riesgos de un ataque exitoso incluyen acceso no autorizado a correo corporativo y archivos, movimiento lateral dentro del entorno cloud, persistencia mediante tokens renovables y potencial despliegue de fraudes basados en correo (BEC) usando cuentas legítimas.

Medidas recomendadas para reducir el riesgo:

• Restringir el consentimiento de aplicaciones: configurar en Azure AD la política de «User consent» para requerir aprobación administrativa para aplicaciones que soliciten permisos sensibles.
• Revisiones periódicas de aplicaciones con consentimiento: mantener un inventario de Enterprise Applications y revocar el consentimiento a aplicaciones no aprobadas o no utilizadas.
• Monitorización y registros: habilitar y revisar los registros de Sign-ins y tokens de Azure AD, además de logs de actividad de Microsoft Graph; buscar patrones de uso inusuales inmediatamente después de autorizaciones.
• Aplicar políticas de acceso condicional: exigir MFA, condiciones de ubicación y cumplimiento de dispositivo para accesos a recursos críticos y para autorizaciones de aplicaciones.
• Hardened admin consent: limitar la posibilidad de que usuarios finales otorguen permisos elevados y exigir que solo administradores otorguen consentimientos para aplicaciones que requieren privilegios.
• Revoke and rotate: ante sospecha, revocar tokens y consentimientos afectados, forzar revocación de sesiones y rotación de credenciales de aplicaciones afectadas.
• Formación y simulación: entrenar a empleados para reconocer pantallas de consentimiento maliciosas, incluyendo ejercicios de concienciación sobre cómo se ven las solicitudes legítimas de Microsoft frente a las fraudulentas.
• Usar protección avanzada: soluciones CASB (Cloud Access Security Broker), Microsoft Defender for Cloud Apps y políticas de aplicación que limiten el alcance de tokens y permisos concedidos.
• Adoptar autenticación resistente al phishing: fomentar el uso de claves FIDO2 y otras formas de MFA resistentes al phishing para cuentas de alto privilegio.

Respuesta ante una sospecha de CoPhish

Si una organización sospecha que ha sido objetivo de CoPhish, los pasos pragmáticos de respuesta incluyen:

• Correlacionar logs: recopilar registros de Azure AD (sign-ins, token issuance), registros de Microsoft 365 y detectores de seguridad para entender alcance y tiempo del ataque.
• Revocar accesos: revocar los consentimientos concedidos a las aplicaciones sospechosas y forzar la revocación de tokens en la tenant afectada.
• Análisis forense: identificar cuentas afectadas, acciones realizadas por esos tokens (descarga de correos, acceso a SharePoint/OneDrive) y preservar evidencias.
• Comunicar y mitigar: notificar a usuarios afectados, restablecer accesos críticos y aplicar medidas temporales de endurecimiento (bloqueo de nuevos consentimientos de usuario, exigir MFA para todas las autorizaciones).
• Revisión post-incidente: actualizar controles, políticas y formación interna para prevenir recurrencias.

Conclusión

CoPhish representa una evolución del abuso de OAuth al combinar la confianza inherente a dominios y servicios legítimos con la automatización que permiten agentes como los de Copilot Studio. Para organizaciones que operan en entornos Microsoft, la amenaza subraya la necesidad de controlar y auditar exhaustivamente los consentimientos de aplicaciones, aplicar políticas de acceso condicional y disponer mecanismos de detección que correlacionen concesiones de permisos con actividad anómala. La mitigación efectiva combina controles técnicos, gobernanza de aplicaciones y formación continuada de usuarios.

Source: www.bleepingcomputer.com