Cuidado con los scams y los engaños que pudieran intentan aprovecharse de SOPA
Como ya sabéis, hoy, 18 de enero de 2012, decenas de webs muy populares dejarán su home page en blanco en protesta por la U.S. Stop Online Piracy Act (SOPA). Algunas de estas webs son muy conocidas, como la versión inglesa de la enciclopedia Wikipedia o el sitio Boing Boing. Otras son muy conocidas para jugadores (Red 5 Studios, Rock, Paper, Shotgun), o para profesionales del Social Media (como Cheezburger Network, Imgur y Reddit) y otros sites de especial interés. El listado completo de los sitios participantes en esta iniciativa puede encontrarse en el sitio web SOPA Strike.
Por supuesto, no todas las compañías que se oponen a SOPA van a dejar sus websites en blanco. Así, eBay, Google, Twitter and Yahoo! son algunas de las compañías que van a mantener sus contenidos durante la protesta, y también ESET.
Aunque la protesta no va a afectar a los usuarios en su quehacer diario, sí es una gran noticia. Y como cualquier otro hecho noticiable, es presumible que los cibercriminales intenten aprovechar el tirón mediático de esta iniciativa para posicionar resultados maliciosos en los motores de búsqueda (lo que conocemos como ataques Black Hat SEO), de los que hemos hablado frecuentemente en este blog.
No podemos saber exactamente qué tipo de scam nos podemos encontrar, teniendo en consideración que los sites listados anteriormente volverán a su actividad normal en el horario anunciado. Por lo tanto, no es presumible que vuelvan a la actividad antes de la hora convocada, y algunos pueden incluso retrasarse.
Si ves algún tipo de anuncio oficial sobre sitios que vuelven a operar de forma normal antes de la hora prevista o si te encuentras algún tipo de mensaje para visitar los sitios que se han sumado a la protesta intentando dirigirte a un nuevo web site, ignóralos y vuelve a visitar el sitio oficial a partir de la hora anunciada. El “nuevo” sitio puede ser claramente malicioso y contener diversos trucos para engañarte e infectar tu ordenador.
En vez de arriesgarte, quizá quieras aprovechar el tiempo para hacer una copia de seguridad de tu ordenador, o para desconectarte el resto del día: Internet estará ahí cuando vuelvas 
.
De nuestro compañero Aryeh Goretsky, MVP, ZCSE. Distinguished Researcher. ESET. Artículo original en inglés.
Páginas de WordPress vulnerables siguen redirigiendo a farmacias online
No hace mucho, comentábamos en este mismo blog cómo miles de sitios que usaban versiones vulnerables de WordPress estaban siendo usados para redirigir a los usuarios a sitios de farmacias online. Casi dos meses después seguimos viendo multitud de sitios con el mismo problema, muchos de ellos españoles.
Como en el caso anterior, la forma en que se propagan estos enlaces maliciosos es mediante el envío de correos electrónicos que usan remitentes con cuentas de correo comprometidas.
Al observar la imagen a continuación, la dirección que se nos proporciona es la de un blog que usa el gestor de contenidos WordPress. Si pulsamos sobre el enlace, se nos abrirá la siguiente web en nuestro navegador:
Observando la barra de direcciones veremos cómo, si bien el enlace pertenece al sitio con WordPress comprometido, al intentar acceder se nos redirigirá a un sitio bien diferente, realizado con la conocida plantilla de farmacia online que tantas veces hemos visto.
Que sigamos viendo este tipo de casos, aun a pesar de que las actualizaciones que solucionan estas vulnerabilidades en WordPress están disponibles desde hace meses, demuestra que muchos usuarios siguen sin aplicar una política de actualizaciones adecuada. Es por eso que, desde el laboratorio de ESET en Ontinet.com, recomendamos actualizar nuestro sitio con WordPress y los plugins que tengamos instalados a la última versión disponible.
Josep Albors
Rizando el rizo: scam que compensa económicamente por el scam enviado anteriormente
Quien más y quien menos, a estas alturas, habrá recibido en una o varias ocasiones el típico correo electrónico en el que se le solicitaba ayuda para transferir una importante suma de dinero desde el Gobierno de un país a cambio de una comisión importante. Este tipo de estafas se hizo muy popular durante años y, en la mayoría de las ocasiones, Nigeria era el país que se mencionaba como origen de la transferencia de dinero.
Esto causó que a este tipo de estafas se las conociese como “timo Nigeriano”, y, aunque a día de hoy no creemos que tengan una relevancia importante, sí que se han visto variaciones de este tipo de emails. Una de estas variaciones es la que comentamos hoy en nuestro blog y que, curiosamente, intenta compensar a las víctimas que hayan sufrido esta clase de estafas. Veamos un ejemplo de este tipo de correos:
Básicamente, lo que se comenta en este correo es que, siguiendo una inexistente resolución del Gobierno de Nigeria, se intentará compensar a algunos de los usuarios que hayan sufrido este tipo de engaños, avisando que solo se admitirán 5 solicitudes e indicando una información de contacto para que el usuario reclame su compensación.
Obviamente, este correo sigue siendo un engaño que intenta captar a usuarios incautos que se crean esa historia, porque, por muy bien redactado que esté, no deja de ser sospechoso que la supuesta dirección de contacto del Banco Central de Nigeria ofrecida tenga su dominio en China.
Aunque este tipo de técnicas de engaño tienen poco éxito entre usuarios cada vez más concienciados, desde el laboratorio de ESET en Ontinet.com aconsejamos no bajar la guardia ante este tipo de correos, porque podemos encontrarnos con algunos muy bien diseñados y que hagan dudar hasta al usuario más experimentado.
Josep Albors
La muerte de Steve Jobs usada para propagar enlaces maliciosos
Hoy nos hemos despertado con una triste noticia para todos los amantes de la tecnología. Steve Jobs, cofundador de Apple junto con Stephen Wozniak, falleció la pasada madrugada víctima del cáncer que venía sufriendo desde hace años. Así aparecía hoy la web de Apple:
La noticia ha caído como un jarro de agua fría entre todos los que veían en él un visionario que revolucionó la manera de entender la informática, sobre todo orientada a mejorar la experiencia del usuario final.
Por desgracia, este tipo de noticias son rápidamente aprovechadas por los ciberdelincuentes y ya estamos empezando a ver lo que pueden ser los primeros ejemplos del aprovechamiento de esta noticia para propagar enlaces maliciosos.
Tal y como pasó en noticias recientes relacionadas con el fallecimiento de celebridades, como por ejemplo la muerte de Amy Winehouse este verano, las redes sociales parecen ser las primeras en las que se están creando grupos para honrar la memoria del fallecido. No obstante, hay algunos que ya han visto la posibilidad de propagar todo tipo de engaños, como el ejemplo que vemos a continuación:
Si accedemos al enlace proporcionado en uno de estos grupos de Facebook (convenientemente acortado para no levantar sospechas), se nos redirigirá a un nuevo sitio preparado para realizar encuestas online fraudulentas. Esta web cambiará de idioma y localización según el lugar desde donde nos conectemos.
Tras realizar la encuesta se nos pedirá que introduzcamos nuestro número de teléfono móvil. Es este paso el que supone un riesgo para los usuarios, ya que, si nos suscribimos a este servicio, empezaremos a recibir mensajes de texto de tarificación especial.
Pero no es el único engaño que se aprovecha de la muerte de Jobs. Pocas horas después, al buscar noticias relacionadas con su muerte empezaban a aparecer posicionados entre los primeros resultados de Google páginas web con engaños similares al que acabamos de comentar.
En este caso se nos redirige a una web donde se nos ofrece rendirle un supuesto homenaje pero que también incluye campos para que introduzcamos nuestro e-mail y participar en el supuesto sorteo de un Macbook Pro. Obviamente, con esta estrategia solo se persigue captar el mayor número de cuentas de correo activas para, posteriormente, inundarlas con spam.
Como hemos visto en anteriores ocasiones, los ciberdelincuentes no tienen reparo alguno en aprovechar la muerte de personas conocidas para propagar sus engaños y amenazas. Desde el laboratorio de ESET en Ontinet.com seguiremos informando por si se producen más intentos (como es muy probable que ocurra) de aprovechar la triste muerte de Steve Jobs para fines fraudulentos, y nos sumamos al pesar causado por su pérdida.
Josep Albors
Aprovechan el anuncio de la beta de Diablo 3 para enviar scam
Tras el anuncio por parte de Blizzard (creadora de esta saga), muchos son los jugones que están esperando recibir en su bandeja de entrada un correo que les permita el acceso a la exclusiva beta privada de uno de los juegos más esperados de los últimos años.
Igual que sucede con otros juegos de éxito, como World of Warcraft (de la misma compañía), este tipo de anuncios crea mucha expectación y los ciberdelincuentes son conscientes de ello. Es por ese motivo que, desde hace unas semanas, venimos observando bastantes correos con supuestas invitaciones a esta beta privada, en los que se solicitan los datos de acceso a las cuentas de los jugadores.
Por supuesto, los datos solicitados permitirían a un atacante robar la cuenta del jugador que los haya proporcionado, y con eso tendría acceso a todos los personajes que el jugador hubiese creado, así como también a sus posesiones virtuales. Estos bienes pueden usarse para traficar y obtener dinero real a partir de ellos. Por esta razón, los troyanos que roban credenciales de este tipo de juegos son una de las amenazas más detectadas desde hace un par de años.
Uno de estos correos que más propagación está obteniendo tiene como remitente a noreply@blizzard.com. Si bien esta dirección corresponde a una real gestionada por Blizzard, se ha usado la técnica de spoofing para suplantarla y hacer creer a los usuarios que el mensaje es verídico.
No obstante, si se opta por responder al enlace, la dirección de destino cambia a diablo3@d3-blizzard.com, dominio que nada tiene que ver con Blizzard y del que, si hacemos una búsqueda usando whois, obtendremos la siguiente información:
Este dominio fue registrado en China a finales de agosto, justo cuando empezaron a oírse los primeros rumores de que se podría empezar a enviar invitaciones para esta beta privada. No es, ni mucho menos, el único dominio que persigue este fin, y solo hace falta revisar los foros de jugadores para comprobar que hay varios que han recibido scams parecidos, pero con diferente procedencia.
El hecho de que en Diablo 3 se pueda usar dinero real para obtener objetos en una especie de sala de subastas seguramente hará que los ciberdelincuentes se fijen especialmente en él una vez sea lanzado. Hasta ahora, todas las posesiones virtuales que robaban tenían que venderse en sitios ajenos a los servidores del juego. Con este cambio en la estrategia de compra/venta de objetos, aquellos que robasen cuentas de jugadores teóricamente podrían vender los objetos robados en el mismo sistema de subastas implantado por Blizzard si realizan la operación antes de que el usuario afectado denuncie el robo de su cuenta.
Aún es pronto para valorar las medidas que tomará Blizzard para evitar este comercio de bienes virtuales robados, pero desde el laboratorio de ESET en Ontinet.com confiamos en que se tomarán las precauciones necesarias para que los usuarios que se vean afectados por este tipo de robos puedan recuperar sus cuentas sin mayores incidentes.
Josep Albors
Atentados de Noruega y muerte de Amy Winehouse: nuevos timos en Facebook
Que los creadores de malware, spam y otros tipos de engaños online aprovechan cualquier noticia o suceso para llamar la atención no es novedad. En el pasado ya vimos cómo, tras el terremoto y tsunami de Japón o la boda real del príncipe Guillermo, surgieron multitud de enlaces falsos que nos prometían imágenes impactantes o nunca antes vistas.
Por desgracia, pocos son los sucesos, por muy trágicos que sean, que no son usados como cebo para atraer la curiosidad de los usuarios y hacer que pulsen donde no deben. Este fin de semana hemos visto dos ejemplos de engaños que se han propagado rápidamente por Facebook.
El primero de ellos se aprovecha del atentado cometido en Oslo el pasado viernes y promete mostrarnos una grabación de una cámara de seguridad que, supuestamente, registró el momento de la explosión. La magnitud de la tragedia ha hecho que no pocos usuarios hayan pulsado sobre el enlace y hayan contribuido a propagar este engaño.
No obstante, no ha sido el único caso de este fin de semana. La muerte de la cantante Amy Winehouse el sábado por la tarde también ha actuado como cebo para propagar enlaces maliciosos, de nuevo a través de Facebook.
Al pulsar sobre estos enlaces, se nos dirige a una dirección externa que, si bien mantiene la apariencia de una web de Facebook, no tiene relación alguna con esta red social. En ella se nos muestra un mensaje en el que se nos pide que confirmemos que tenemos más de 13 años. De nuevo vemos el botón “Jaa”, tan usado últimamente en este tipo de engaños, y que, al pulsarlo, hará que se publique este enlace en nuestro muro.
El usuario que siga los pasos no obtendrá el vídeo esperado y será redirigido a otro tipo de vídeos que nada tienen que ver con la noticia original o a tediosas encuestas online de las que los delincuentes obtienen beneficios.
Como vemos, los creadores de este tipo de engaños no tienen ningún respeto ante las desgracias ajenas. Cualquier noticia, por trágica que sea, será susceptible de ser usada como cebo para engañar a los usuarios desprevenidos.
Es por ello que, desde el laboratorio de ESET en Ontinet.com, recomendamos ignorar este tipo de enlaces y acudir siempre a periódicos y agencias de noticias online que tengan una probada reputación.
Josep Albors
Phishing de Caixa Penedès con conexión EEUU – España
Los casos de phishing y suplantación a entidades bancarias españolas son algo de lo más común y afecta incluso a las entidades con presencia únicamente en determinadas partes de España. En el caso que nos ocupa hoy, analizaremos un correo que intenta suplantar a Caixa Penedès para propagar un troyano bancario, entidad que ya fue objeto de un caso similar la semana pasada y que nuestros compañeros de ESET Latinoamérica se encargaron de analizar.
Todo empieza con la recepción de un correo que se hace pasar por la entidad bancaria suplantada. Los gráficos usados coinciden con el emblema de la entidad pero, si nos fijamos, observaremos la falta de tildes en el texto y alguna frase extrañamente construida:
En el centro del mensaje destaca la palabra ACEPTAR, en mayúsculas, la cual nos invita a que la pulsemos. No obstante, si observamos el enlace al que nos dirige, veremos que no parece tener nada que ver con la entidad bancaria.
Al comprobar la dirección IP, observamos que esta pertenece a una empresa del estado de Nueva York especializada en soluciones de comunicaciones para empresas.
Cuidado con llamadas de falsos soportes técnicos
Hace unos meses nos hacíamos eco de una serie de engaños en forma de llamadas telefónicas que dicen provenir de servicios de soporte técnico de marcas conocidas. Este tema lo ha estado siguiendo nuestro compañero David Harley, investigador senior de ESET, y hasta ahora afectaba sobre todo a países de habla inglesa, aunque ya se han visto casos en otros países como Dinamarca, y Microsoft ha informado recientemente sobre este hecho haciendo extensivo el aviso a otros países, entre otros, a España.
Aunque en países hispanoparlantes aún no tenemos conocimiento de que se hayan producido este tipo de casos, es muy probable que, siendo uno de los idiomas más usados a nivel mundial, no tardemos en ver cómo estas estafas se adaptan también a nuestro mercado. Y como “Más vale prevenir que curar”, desde el laboratorio de ESET en Ontinet.com preferimos avisar y recordar cómo se producen por si se les ocurriera aprovechar el período estival, cuando todos tenemos más tiempo para dedicar a este tipo de llamadas.
Básicamente, este tipo de engaño no difiere mucho de otras estafas a las que estamos acostumbrados. En España, por ejemplo, se han dado casos en los que se reciben llamadas donde el interlocutor se hace pasar por un operador de telefonía o entidades bancarias, y con cualquier excusa, nos solicita una serie de datos personales.
No obstante, el uso del ordenador ya es algo que se ha institucionalizado en la mayoría de hogares y todos, en algún momento, hemos necesitado de algún tipo de soporte, ya sea para eliminar una infección o para instalar algún driver. Aprovechándose de esta coyuntura, los estafadores pensaron que sería buena idea suplantar a los servicios técnicos legítimos y empezar a ofrecer servicios aparentemente gratuitos de falso soporte técnico de marcas muy conocidas (pero ya veremos que todo tiene un precio, por supuesto).
¿Timos en Internet? Muchos. Y en el Mundo Real… los mismos.
Entre los grandes problemas de la seguridad en Internet, aparte de virus troyanos y demás especies, son especialmente famosos los timos que se envían por correo electrónico. Todos hemos recibido muchas cartas cadena que nos prometen felicidad eterna si reenviamos un mensaje 15 veces, que nos piden que mandemos una tarjeta postal a un niño enfermo de cáncer… Bueno, para algo se inventó en botón “Eliminar”.
Pero ¿cómo podemos evitar que un timador se cuele en nuestro buzón? Generalmente, los sistemas antispam se encargan de ellos, afortunadamente. Y gracias al antivirus, al antispam y el anti espías (si le ponemos un cortafuegos, genial) podemos pensar que no estamos demasiado mal protegidos.
Pero por mucha protección que tengamos, mucha prevención que exista a la hora de manejar Internet, el mundo está lleno de timadores y de estafadores, que van a conseguir sus objetivos gracias a, por ejemplo, la televisión.
En el Blog enchufa2 saben bien de qué hablamos. Un supuesto vidente se permite el lujo de opinar sobre la salud de una chica. ¿No existe un cortafuegos para la televisión? ¿No podemos instalar un sistema antispam para los anuncios? ¿Quién desarrollará un antivirus para determinadas noticias sesgadas y parciales?
El laboratorio de ESET en Ontinet.com confirma que ya existe. Se activa pulsando un botón que apaga la tele. Y, además, se ahorra energía.
Fernando de la Cuadra
Encuentra a tu media naranja…, o no
En la entrada de ayer en este blog nos hacíamos eco de la propagación de una nueva variante del malware Zbot usando un enlace incluido en un correo electrónico. Parece que esta técnica les ha ido bien, puesto que estamos viendo variantes de ese mismo correo que no descargan ningún código malicioso, sino que nos redirigen a una web. Como vemos, el texto del mensaje es prácticamente idéntico al del caso que analizábamos ayer.
No obstante, hay una diferencia importante, y es que el enlace incluido ya no pertenece a un dominio legítimo comprometido. Esta vez, los creadores de esta campaña de spam han usado acortadores de direcciones web para evitar que las posibles víctimas puedan identificar el dominio a primera vista. Algunos de los enlaces usados ya han sido reportados a las empresas que ofrecen estos servicios y se han bloqueado para evitar que más usuarios caigan en la trampa.
En esta ocasión, el cebo tiene la forma de una agencia matrimonial para encontrar pareja entre mujeres de Rusia, Ucrania y Bielorrusia, algo que no es nuevo, pero que suele tener bastante éxito.
Como vemos, la web tiene un diseño más o menos profesional y es bastante factible que un usuario sea engañado y pulse sobre cualquiera de los perfiles de las chicas que allí se muestran y que, supuestamente, se encuentran buscando pareja. Si pulsamos sobre un perfil cualquiera, nos saldrá un perfil detallado como el que vemos a continuación.
En este perfil podremos observar información de todo tipo de la chica elegida. Con tantos perfiles a nuestra disposición, es fácil que todos los que estén interesados en encontrar pareja vean uno o varios perfiles que les llamen la atención.
Pero, ¿cómo hacemos para ponernos en contacto con estas señoritas? Pues tan simple como crear nuestro propio perfil y solicitar los servicios que esta agencia nos proporciona, servicios que van desde escribir un correo electrónico a videochat en directo. Pero, a semejanza de otros servicios de mucho más renombre como Meetic, establecer esta comunicación cuesta créditos, créditos que podemos obtener a cambio de dinero real tal y como vemos en la siguiente tabla.
En este punto es donde se encuentra la estafa y es que, cuando el incauto usuario proceda a comprar créditos con los que podrá ponerse en contacto con la que puede ser su media naranja, se le pedirá los datos de su tarjeta de crédito.
Si el usuario ha picado de lleno y ha introducido los datos de su tarjeta, estos pasarán a formar parte de una base de datos que los ciberdelincuentes usarán para sustraer más dinero o venderlos a las mafias que trafican con este tipo de información.
Como hemos visto, los ciberdelincuentes saben adaptarse constantemente, y tan pronto están propagando malware como estafando a los usuarios con estas falsas agencias matrimoniales. Desde el laboratorio de ESET en Ontinet.com aconsejamos desconfiar de este tipo de web, más si cabe cuando no hemos solicitado este tipo de servicio.
Josep Albors
Artículos Anteriores »