Un escáner falso de correo electrónico

En años recientes, han sido bastante regulares las noticias sobre redes corporativas infectadas mediante correo electrónico (y generalmente relacionadas con el pago de un rescate). Por lo tanto, no es sorprendente que los estafadores utilicen frecuentemente el tema para tratar de sustraer las credenciales de las cuentas de correos corporativos, al convencer a los empleados de la empresa de que ejecuten un análisis de su buzón.

La estratagema está dirigida a personas que conocen la posible amenaza del malware en el correo electrónico, pero que no tienen conocimientos suficientes sobre cómo tratarla. El personal de seguridad de la información haría bien en explicar estos trucos a los empleados y utilizarlos de ejemplos para ilustrar qué deben buscar los empleados para evitar ser víctimas de los cibercriminales.

Correo electrónico de phishing

Uno de los trucos más populares en los mensajes fraudulentos es intimidar a la víctima. Pueden tener una alerta de virus en el encabezado, seguido de tres signos de explanación para agregar más alerta. Por muy insignificante que parezca la puntuación, es lo primero que debería avisar al destinatario de que algo puede salir mal. La puntuación innecesaria en un correo de trabajo es un signo de dramatismo o falta de profesionalidad.

De cualquier manera, está fuera de lugar en una notificación supuestamente destinada a transmitir información sobre una amenaza.

La pregunta principal que los destinatarios deben hacerse es: ¿quién envió el mensaje?

Por lo general esta clase de correos electrónicos afirma que, si no se actúa, la cuenta del destinatario será bloqueada. Podría ser lógico asumir que lo envió el servicio de TI que proporciona soporte al servidor del correo corporativo o los empleados del proveedor de servicios de correo electrónico.

Pero es importante entender que ningún proveedor o servicio interno requeriría la acción del usuario para analizar el contenido del buzón. El escaneo se realiza automáticamente en el servidor de correo. Además, la “actividad de un virus” rara vez ocurre dentro de una cuenta. Incluso si alguien enviara un virus, el destinatario tendría que descargarlo y ejecutarlo. La infección ocurre en la computadora, no en la cuenta de correo.

Volviendo a la primera pregunta, un vistazo al remitente da dos señales de alerta inmediatas. Si, por ejemplo, el correo electrónico se envió desde una cuenta de Hotmail, mientras que una notificación legítima mostraría el dominio de la empresa o del proveedor.

Segundo, digamos que el mensaje proviene del “Equipo de Seguridad de Correo Electrónico”. Si la empresa del destinatario utiliza un proveedor externo de servicios de correo, su nombre debe aparecer en la firma. Y si el servidor de correo está en la infraestructura corporativa, la notificación vendrá del departamento interno de TI o del servicio de seguridad de la información, pues las probabilidades de que un equipo entero sea responsable únicamente de la seguridad del correo electrónico son mínimas.

Lo siguiente es el enlace. La mayoría de los clientes de correo electrónico modernos muestran la URL escondida detrás del hipervínculo. Si se insta al destinatario a hacer clic en un escáner de correo electrónico alojado en un dominio que no pertenece ni a su empresa ni al proveedor de correo, es casi seguro que se trata de phishing.

Sitio de phishing

El sitio parece una especie de escáner de correo electrónico en línea. Con el fin de parecer auténtico, muestra los logotipos de una serie de proveedores de antivirus. El encabezado incluso ostenta el nombre de la empresa del destinatario, lo que pretende eliminar cualquier duda sobre de quién es la herramienta. El sitio primero simula un escaneo, luego lo interrumpe con el mensaje no programado “Confirme su cuenta a continuación para completar el escaneo del correo electrónico y eliminar todos los archivos infectados”. La contraseña de la cuenta es necesaria para eso, por supuesto.

Para determinar la naturaleza del sitio, comienza por examinar el contenido de la barra de direcciones del navegador. Primero, como se mencionó anteriormente, no estará en el dominio correcto. En segundo lugar, lo más probable es que la URL contenga la dirección de correo electrónico del destinatario. Eso en sí mismo está bien, pues la ID de usuario podría haber pasado a través de la URL. Pero en caso de que tengas dudas sobre la legitimidad del sitio, sustituye la dirección por caracteres arbitrarios (pero mantén el símbolo @ para conservar la apariencia de una dirección de correo electrónico).

Los sitios de este tipo utilizan la dirección proporcionada por el enlace en el correo electrónico de phishing para rellenar los espacios en blanco en la plantilla de la página. Para el experimento, se utilizó la dirección inexistente victima@tuempresa.org, y el sitio sustituyó debidamente “tuempresa” en el nombre del escáner, y la dirección completa en el nombre de la cuenta, con lo que aparentó iniciar el escaneo de los archivos adjuntos inexistentes en los correos electrónicos inexistentes. Repitiendo el experimento con una dirección diferente, se observó que los nombres de los archivos adjuntos en cada “escaneo” eran los mismos

Otra inconsistencia es que el escáner supuestamente escanea el contenido del buzón sin necesidad de autenticación. Entonces, ¿por qué solicita la contraseña?

Cómo proteger a sus empleados del phishing

Un análisis detallado mostró los signos de phishing tanto en el correo electrónico como en el sitio web del escáner falso. El simple hecho de mostrar este mensaje a los empleados les dará una idea aproximada de lo que deben buscar. Pero eso es sólo la punta de este particular iceberg. Algunos correos electrónicos falsos son más sofisticados y difíciles de detectar.

Por lo tanto, recomendamos una labor continua de concientización para los empleados acerca de las últimas ciberamenazas. Además, utiliza soluciones de seguridad capaces de detectar correos electrónicos de phishing en el servidor de correo y bloquear las redirecciones a sitios de phishing en las estaciones de trabajo.

Fuente:

Un escáner falso de correo electrónico

Kaspersky

6 Ago, 2020

Share on facebook
Share on twitter
Share on linkedin
Share on email
Share on telegram
Share on whatsapp
Share on pocket

Deja un comentario