Un m\u00f3dulo malicioso en Internet Information Services (IIS) convierte la versi\u00f3n web de Outlook en una herramienta para robar credenciales y un panel de acceso remoto. Unos agentes desconocidos han utilizado el m\u00f3dulo, denominado OWOWA por nuestros investigadores, en ataques dirigidos.<\/p>\n
La versi\u00f3n web de Outlook (antes conocido como Exchange Web Connect, Outlook Web Access y Outlook Web App, o simplemente OWA) es una interfaz basada en Internet para acceder al servicio del Administrador de Informaci\u00f3n Personal de Microsoft. La aplicaci\u00f3n se implementa en los servidores web que ejecutan IIS.<\/p>\n
Muchas empresas lo utilizan para dar acceso remoto a los empleados a sus correos corporativos y a los calendarios sin tener que instalar un cliente para ello. Hay varios m\u00e9todos para implementar Outlook en la web; uno de ellos requiere el uso de Exchange Server en el sitio, que es lo que atrae a los ciberdelincuentes. En teor\u00eda, obtener el control de esta aplicaci\u00f3n concede acceso a toda la correspondencia corporativa, junto con oportunidades infinitas de expandir su ataque en la infraestructura y lanzar campa\u00f1as BEC adicionales.<\/p>\n
OWOWA se carga en servidores web IIS comprometidos como un m\u00f3dulo para todas las aplicaciones compatibles; sin embargo, su prop\u00f3sito es interceptar las credenciales que se introducen en OWA. El malware<\/em> revisa las solicitudes y respuestas en la p\u00e1gina de inicio de sesi\u00f3n de la versi\u00f3n web de Outlook y, si detecta que un usuario ha introducido credenciales y recibido un token de autentificaci\u00f3n en respuesta, escribe el nombre de usuario y contrase\u00f1a en un archivo (en formato cifrado).<\/p>\n Adem\u00e1s, OWOWA permite a los atacantes controlar su funcionalidad directamente mediante el mismo formato de autentificaci\u00f3n. Al introducir ciertos comandos en los campos de nombre de usuario y contrase\u00f1a, un atacante puede recuperar la informaci\u00f3n recopilada, eliminar el archivo de registro o ejecutar comandos arbitrarios en el servidor comprometido mediante PowerShell.<\/p>\n