Spam farmacéutico se propaga usando sitios con WordPress sin actualizar
Uno de los correos spam más propagados y que no pierde fuelle aunque pasen los meses, son los que promocionan farmacias online, sitios en los que supuestamente se venden medicamentos mucho más baratos que en otros lugares y sin pedir prescripción médica.
Obviando el riesgo de consumir medicamentos de estos sitios, que en el mejor de los casos tendrán un efecto placebo, resulta interesante observar todo lo que rodea a este negocio fraudulento, empezando por los métodos para dar a conocer estos sitios web.
Llevamos varios días recibiendo spam en nuestro laboratorio que, aparentemente, apunta a sitios con el conocido sistema gestor de contenidos WordPress instalado. Estos sitios han sido modificados para redirigir al usuario aprovechando que usan versiones antiguas de WordPress que presentan vulnerabilidades. Veamos un ejemplo de este tipo de correo:
Si somos lo suficientemente incautos como para pulsar sobre el enlace proporcionado, se nos redirigirá a un sitio web con el habitual aspecto de una farmacia online. Seguro que a algunos de nuestros lectores el formato de esta web les resultará familiar, y si nos fijamos en la dirección del enlace, observaremos que en él figura la palabra “automated”.
Esto es debido a que, al igual que en algunos casos de malware como las botnets, los ciberdelincuentes ofrecen kits de creación y gestión de este tipo de webs para que cualquiera, sin muchos conocimientos, pueda montar su farmacia online y empezar a ganar dinero sin esfuerzo. Al respecto, el investigador francés conocido como XyliBox ha escrito en su blog un interesante artículo sobre cómo funciona este negocio.
Como siempre intentamos recordar, los usuarios deben tener mucho cuidado al pulsar sobre según qué enlaces incluidos en mensajes de correo. No obstante, los navegadores web suelen estar atentos cuando se propagan este tipo de campañas de spam y suelen bloquear los enlaces maliciosos tarde o temprano.
En caso de que nuestro navegador no bloquee el sitio malicioso, nuestro antivirus también nos puede echar una mano impidiendo que accedamos al enlace.
Como vemos, mientras los usuarios sigan cayendo en estos engaños y este tipo de negocios sea rentable, seguiremos viendo spam de farmacias online en nuestras bandejas de entrada. Desde el laboratorio de ESET en Ontinet.com recomendamos ignorar este tipo de correos y eliminarlos según los recibimos, aunque nunca está de más contar con una solución antivirus actualizada por si se nos escapa el dedo.
Josep Albors
Spam de marca blanca. Usan a Mercadona como gancho para un nuevo timo telefónico
El uso de nombres de empresas u organismos oficiales conocidos como gancho para conseguir la atención de los usuarios es otra de las técnicas más usadas recientemente. Si ayer comentábamos en este blog la utilización de asuntos sugerentes para llamar la atención hoy vamos a analizar cómo se intenta suplantar a una conocida empresa de supermercados para promocionar un timo telefónico.
Todo comienza con la recepción en nuestra bandeja de entrada de correo de una supuesta promoción con la que podemos conseguir una tarjeta regalo valorada en 990€. Suena interesante, y más sabiendo lo que cuesta últimamente llenar el carrito de la compra.
Si nos fijamos en el mensaje, aparece como remitente Mercadona pero esto no es más que un engaño puesto que la dirección real de envío es la de una empresa especializada en este tipo de promociones. Se oculta este dato para confundir a los usuarios y, como vamos a ver a continuación, no es la única estrategia usada.
Si nos fijamos en la imagen mostrada en el correo, no se menciona en ningún lado de la misma a la cadena de supermercados pero si que se usa una imagen corporativa muy similar. Tan solo tenemos que pasarnos por la página web de Mercadona para observar las similitudes con los colores corporativos y su logotipo. Cabe recordar que la web de esta empresa utiliza el protocolo seguro https para la comunicación con sus usuarios.
Siguiendo con el correo recibido, si pulsamos en los enlaces proporcionados se nos solicitará que introduzcamos un número de teléfono para enviarnos un código que, una vez recibido en nuestro terminal deberemos introducir para poder participar en esta supuesta promoción.
En este punto es importante detenernos a observar a que dirección web hemos accedido. Si nos fijamos en la barra de direcciones del navegador, observamos cómo se nos ha dirigido a un dominio que no parece tener nada que ver con el de la empresa Mercadona. Si además nos fijamos en la letra pequeña, observaremos que, si enviamos nuestro número de teléfono y proporcionamos el código recibido se nos suscribirá a un servicio de recepción de mensajes sms de tarificación especial.
Como nos extraña que una empresa como Mercadona autorice promociones de este tipo, decidimos ponernos en contacto con su servicio de atención al cliente, contestando poco después y confirmando que ellos no estaban realizando ningún tipo de promoción como la anunciada en el correo electrónico.
De nuevo estamos ante un caso de suplantación de identidad corporativa, pensado para ganarse la confianza de usuarios desprevenidos. Si bien, en esta ocasión no se usa para propagar malware, seguro que a nadie le hace gracia que su factura de teléfono se vea incrementada por haberse suscrito a un servicio de envío de sms de tarificación especial sin saberlo.
Desde el laboratorio de ESET en Ontinet.com aconsejamos a los usuarios que desconfíen de promociones similares, lean bien la letra pequeña y, en caso de seguir con dudas, contactar con el servicio de atención al cliente de la empresa afectada para que estas sean resueltas.
Josep Albors
Mensajes sugerentes con malware de regalo
El envío de ficheros infectados adjuntos a correos electrónicos puede sonar a algo de otra época, sobre todo viendo la complejidad de algunas amenazas actuales. No obstante, este vector de infección sigue estando muy presente y no son pocos los usuarios que caen en este tipo de correos maliciosos.
El envío masivo de e-mails con adjuntos infectados es algo que les cuesta muy poco a los ciberdelincuentes, ya que disponen de miles de ordenadores que han visto su seguridad comprometida y que forman parte de una botnet. Así pues, por muy bajo que sea el porcentaje de usuarios que se infecten al abrir un archivo adjunto a un e-mail, el envío de este tipo de correos sigue siendo rentable.
Teniendo esto en cuenta, los únicos cambios que se realizan para llamar la atención de los usuarios es crear asuntos sugerentes o alarmantes. Recientemente hemos visto multitud de e-mails suplantando a empresas de transporte diciendo que tenían un paquete para nosotros y nos solicitaban rellenar un documento adjunto, supuestos correos con falsas multas de tráfico o agencias tributarias que nos devuelven parte de los impuestos pagados.
Pero hay un tema que siempre llama la atención, sobre todo entre usuarios masculinos, y no es otro que el sexo. Las campañas de spam diseñadas para un periodo en concreto suelen tener un éxito razonable pero su duración suele ser relativamente corta. En cambio, aquellas campañas con algún componente sexual en su contenido suelen ser atemporales y conseguir un nivel de éxito superior a la media.
Durante los últimos días, en nuestro laboratorio hemos estado recibiendo varios ejemplos de este tipo de correos:
Como vemos, aun a pesar de ser un mensaje en inglés, la mayoría de usuarios reconocerá tres palabras que despertarán su interés: “photo”, “naked” y “girls”. Algo tan simple como este correo lleva días propagándose y, por los datos recopilados hasta ahora en nuestro laboratorio, ha conseguido un éxito superior a la media.
Por suerte para los usuarios, de la misma forma que el mensaje es muy simple, los códigos maliciosos que suelen adjuntar pertenecen a familias de malware conocidas y que son detectadas sin problemas por la mayoría de software antivirus. En este caso, las soluciones de Seguridad de ESET lo detectan como una variante de la ya veterana familia Agent.
A pesar de ser una técnica antigua y que la mayoría de usuarios debería descartar de forma automática estos correos (si no lo hace ya su filtro antispam), seguimos recibiendo a diario este tipo de mensajes. Desde el laboratorio de ESET en Ontinet.com recordamos que la mejor manera de protegernos ante ellos es ignorarlos y eliminarlos tan pronto como los veamos en nuestra bandeja de entrada.
Josep Albors
Correo propaga malware usando multa de tráfico como cebo
Uno de los correos electrónicos que más hemos recibido en nuestros laboratorios en los últimos días es una supuesta multa de tráfico emitida por la policía de Nueva York. En principio no debería suponer mayor problema para los que no vivimos en esa carismática ciudad, pero, debido a que es uno de los destinos turísticos por excelencia, es posible que alguien crea que se pasó pisando el acelerador mientras estaba de vacaciones y piense que la multa es auténtica.
El correo en sí no tiene mayor misterio y sigue un patrón similar al que ya vimos en otros que usaban técnicas similares, como aquella multa de tráfico desde Brasil o los que suplantaban a la Policía Nacional y a la Guardia Civil. La principal diferencia en este caso es que el archivo malicioso viene comprimido adjunto al correo y no se proporciona desde un enlace.
Si descargamos el archivo adjunto y lo descomprimimos observaremos cómo aparece un fichero con el icono de un documento PDF, pero con la extensión de un archivo ejecutable. Si bien es fácil reconocer este tipo de extensión, muchos usuarios prefieren hacer caso al icono y otros tantos ni siquiera tienen activada la opción de Windows que muestra la extensión verdadera de los archivos.
Como vemos, la técnica usada en esta ocasión es bastante sencilla y se preocupa poco de camuflar el código malicioso que propaga. En este caso se trata de un troyano que descarga varios tipos de malware en el sistema si se ejecuta, lo que conocemos comunmente como Trojan Downloader.
Desde el laboratorio de ESET en Ontinet.com recomendamos ignorar este tipo de correos. La referencia a la policía de Nueva York debería ser suficiente para la mayoría de usuarios como para descartar inmediatamente el mensaje. No obstante, nunca está de más contar con una solución antivirus actualizada por si nuestra curiosidad nos traiciona.
Josep Albors
Oleada de correos con facturas falsas propagan troyanos
La propagación de códigos maliciosos mediante la utilización de campañas de envío masivo de spam es algo a lo que estamos habituados desde hace años. Cada vez que observamos la recepción en nuestros laboratorios de miles de correos electrónicos con asuntos similares y ficheros adjuntos, podemos estar seguros de que los ciberdelincuentes están intentando propagar sus últimas creaciones.
Desde hace unos días venimos observando la evolución del envío masivo de emails con asuntos y archivos adjuntos similares. Estos correos llegan en inglés y sus asuntos van desde abonos en nuestra tarjeta de crédito por servicios cobrados de más hasta el envío de supuestas facturas, pasando por el presunto bloqueo de nuestra tarjeta de crédito.
La intención de dichos asuntos es llamar la atención de los usuarios para que estos abran el fichero adjunto sin pararse a pensar si realmente este archivo es lo que dice ser. Tal y como nos tienen acostumbrados los ciberdelincuentes, tras guardar el archivo en nuestro disco duro y abrirlo nos encontramos con un fichero ejecutable que nada tiene que ver con lo anunciado y que ejecutará un troyano en nuestro sistema.
En este caso, los ciberdelincuentes tan solo se han tomado la molestia de modificar el icono del archivo infectado, pero no la extensión, por lo que, si tenemos la visualización de las extensiones activadas, tendremos una oportunidad de reconocer la amenaza y eliminarla antes de que sea demasiado tarde.
Como vemos, en este tipo de campañas de propagación de malware prima la cantidad de mensajes enviados sobre la complejidad del ataque. Esto es debido a que, si bien los usuarios desconfían cada vez más de este tipo de mensajes, el porcentaje de afectados es todavía lo suficientemente importante como para que se sigan realizando este tipo de envíos masivos. Si a ello le sumamos el que la práctica totalidad de estos mensajes se envían desde sistemas infectados y que forman parte de una botnet, entenderemos por qué a los ciberdelincuentes no les cuesta apenas esfuerzo lanzar este tipo de campañas.
Por suerte, evitar caer en esta clase de trampas es sencillo. Desde el laboratorio de ESET en Ontinet.com recomendamos desconfiar de mensajes que nos hablan de servicios o pagos que en la gran mayoría de casos no hemos realizado, y, si tenemos dudas, contactar directamente con nuestra entidad bancaria o servicio mencionado en el correo. Asimismo, contar con un antivirus actualizado también nos puede ayudar a bloquear estas amenazas en el caso de que nuestro sentido común no sea suficiente.
Josep Albors
Variante de Zbot se propaga desde webs legítimas españolas
La propagación de troyanos con finalidad de infectar equipos y que estos pasen a formar parte de una botnet es una de las amenazas más comunes en la actualidad. Se usan varias estrategias para conseguir infectar el usuario aunque, como vamos a ver, hay algunas que se mantienen, muy probablemente debido a que su porcentaje de éxito es lo suficientemente elevado.
Durante el día de ayer empezamos a recibir una serie de correos en español que usaban la conocida técnica de adjuntar enlaces para la descarga de una supuesta factura o documento importante. Los detalles a tener en cuenta son que los correos tenían como remitente cuentas de correo reales y los enlaces correspondían a dominios españoles que habían visto su seguridad comprometida y estaban albergando malware sin saberlo.
Este tipo de técnica fue usada hace unos meses y en este mismo blog la sometimos a un análisis a fondo. La técnica usada en esta ocasión apenas ha sufrido variaciones, mientras que la utilización de dominios españoles comprometidos sigue siendo la más importante. Si pulsamos sobre el enlace proporcionado en el correo, comprobaremos cómo se produce la descarga del archivo comprimido que contiene la amenaza a nuestro disco.
Hay que destacar que entre los enlaces comprometidos hay dominios de todo tipo, incluyendo un portal web de centros educativos que pertenece al Gobierno de una comunidad autónoma española. Cabe destacar que la mayoría de enlaces que se vieron comprometidos ya han sido bloqueados, pero estamos observando nuevas variantes activas desde esta pasada madrugada que utilizan nuevos enlaces.
Tras la descarga del archivo comprimido a nuestro disco y realizar su descompresión, nos encontramos con la burda pero efectiva técnica de la doble extensión, de manera que el usuario cree haber descargado un archivo PDF cuando, en realidad, es un ejecutable. No obstante, en las muestras recibidas el icono usado es el de Java en lugar del de un visor PDF como Adobe Reader o Foxit Reader, por lo que puede ser una ayuda para que el usuario desconfíe del archivo.
Obviamente, si contamos con una solución antivirus actualizada, esta amenaza debería ser bloqueada nada más pulsemos sobre el enlace. En el caso de las soluciones de seguridad de ESET, el archivo malicioso se identifica como Troyano Win32/Spy.Zbot.YW.
Tal y como hemos visto, los ciberdelincuentes se dedican a explotar una y otra vez aquellas técnicas que han tenido éxito en el pasado. Con solo un par de retoques es fácil que los usuarios vuelvan a caer en la trampa, engañados por enlaces que parecen de confianza.
Es por este motivo que, desde el laboratorio de ESET en Ontinet.com, recomendamos mucha precaución cuando recibamos correos de este tipo. El hecho de que estén en español y apunten a enlaces españoles de webs legítimas puede hacer que muchos usuarios se confíen, descarguen y ejecuten el archivo malicioso. Por eso, ante la duda, mejor evitar abrir este tipo de correos.
Josep Albors
Correo anuncia la falsa muerte de Fidel Castro para propagar malware
El uso de noticias impactantes para engañar a los usuarios y hacer que estos pulsen sobre enlaces maliciosos es algo bastante habitual a lo que, lamentablemente, estamos acostumbrados. Cada vez que ocurre una noticia de impacto nacional o internacional se propagan de forma masiva correos electrónicos y, más recientemente, enlaces maliciosos en las redes sociales.
Pero, ¿qué pasa si no hay noticias impactantes que llamen la atención y que puedan ser aprovechadas por los ciberdelincuentes para propagar sus últimas creaciones maliciosas? La solución es sencilla: se inventan.
Un ejemplo de esta inventiva de la que gozan los ciberdelincuentes se produjo durante el día de ayer, cuando empezamos a ver cómo se propagaban correos anunciando la muerte de Fidel Castro.
En la mayoría de casos similares se intenta suplantar a alguna agencia de noticias, y en esta ocasión fue el canal 24 Horas de la Televisión Nacional de Chile la elegida. Con esta suplantación se gana confianza por parte de los usuarios que creen que una fuente confiable es la fuente de la noticia y no dudan en pulsar sobre los enlaces que se adjuntan. Obviamente, tras estos enlaces se ocultan todo tipo de códigos maliciosos.
No obstante, no es la primera vez que vemos usar la falsa noticia de la muerte de Fidel Castro en una campaña de propagación de malware. Nuestros compañeros de ESET Latinoamérica ya informaron de un caso parecido (incluso usando la misma foto que ahora) hace más de dos años. Esto indica que hay falsas noticias que son recurrentes porque se sabe que su impacto en los usuarios, debido a su curiosidad por conocer más detalles, será elevado.
Ante este tipo de anuncios y noticias falsas, desde el laboratorio de ESET en Ontinet.com aconsejamos contrastar con fuentes de confianza la información. Noticias de este calibre no pasan desapercibidas y, en caso de ser verdaderas, todas las agencias se harían eco de forma casi instantánea.
Josep Albors
Malware se propaga usando, de nuevo, el nombre de Correos
No es la primera vez que tratamos un tema de suplantación de una entidad española que se usa para propagar malware. En esta ocasión, nos gustaría analizar la última variación que hemos recibido en nuestro laboratorio, la cual intenta infectar al usuario haciéndose pasar por la empresa Correos.
Todo empieza cuando recibimos en nuestra bandeja de entrada mensajes que parecen provenir de Correos. A primera vista puede parecer que el mensaje es verídico, puesto que usa el logotipo de la empresa, se usa una dirección (info@correos.es o similar) que no levanta sospechas e incluso se añade el sello de una conocida empresa Antivirus para conseguir que el usuario se sienta más seguro a la hora de abrir el mensaje.
No obstante, si nos paramos a pensar, veremos que hay cosas que no encajan. Lo primero que debemos preguntarnos es: si realmente Correos tiene un mensaje importante para entregarnos, ¿cómo ha conseguido nuestra dirección de email? Además, si nos paramos a revisar la cabecera del mensaje, veremos que la dirección original no tiene nada que ver con Correos.
Todo este montaje forma parte de un engaño para ganarse la confianza del usuario que recibe el mensaje y que este descargue y ejecute un archivo malicioso. Si prestamos atención a la pantalla de descarga veremos cómo el supuesto correo certificado extraviado tiene doble extensión y es, en realidad, un archivo ejecutable.
Como vemos, los ciberdelincuentes que han preparado esta amenaza han optado por el camino fácil, confiando en que muchos usuarios no prestarán atención a esta doble extensión del fichero y lo ejecutarán igualmente.
No obstante, si intentamos descargar este archivo infectado y contamos con nuestra solución de seguridad de ESET actualizada, se nos mostrará una ventana de alerta en la que se indica la detección del troyano Win32/VB.QAE.
Desde el laboratorio de ESET en Ontinet.com hemos observado que este tipo de campañas y similares (como las del envío de mensajes suplantando a la Policía Nacional o a la Guardia Civil) se repiten cada cierto tiempo, y que mejoran en cada nueva campaña para resultar más efectivas.
Es por eso que resulta vital contar con una buena solución antivirus actualizada que sea capaz de detectar estas amenazas, por si nuestro sentido común no está al tanto y pulsamos sobre el enlace malicioso que se envía en este tipo de mensajes.
Josep Albors
Spam de Twitter usado para promocionar farmacias online
No es la primera vez que observamos cómo se utiliza el nombre de redes sociales para propagar enlaces que redirigen a empresas de dudosa legalidad como las farmacias online. En este mismo blog, sin ir más lejos hemos analizado casos que suplantaban a Facebook o, más recientemente, Google+ para promocionar este tipo de empresas.
Siendo Twitter otra de las redes más usadas, no era de extrañar que también apareciesen mensajes de este tipo, y así ha sido, recibiendo en nuestro laboratorio mensajes como el que mostramos a continuación.
Como en casos anteriores, se intenta suplantar a la empresa utilizando una plantilla para el mensaje prácticamente idéntica a la original, indicando además que los mensajes que presuntamente hemos recibido provienen de una cuenta administrativa de Twitter.
Curiosamente, en este caso, el enlace principal redirige a Twitter, tal y como anuncia, solicitándonos que nos registremos en nuestra cuenta. Son los otros dos enlaces proporcionados los que, cuando pulsamos sobre ellos, nos redirigen a una de las conocidas farmacias online que venden toda clase de medicamentos sin ninguna garantía sanitaria.
Como ya hemos visto en otras ocasiones, los ciberdelincuentes intentan aprovechar todas las vías posibles para conseguir que sus campañas de spam tengan éxito. Este es otro caso más pero no será el último que veamos, es más, este tipo de campañas son recurrentes y cada cierto tiempo vuelven a invadir nuestras bandejas de entrada de correo.
Desde el laboratorio de ESET en Ontinet.com recomendamos ignorar este tipo de mensajes y nunca seguir los enlaces proporcionados en los mismos. Asimismo, recordamos que es mucho más seguro acceder a nuestras redes sociales escribiendo nosotros mismos los enlaces en el navegador.
Josep Albors
Spam de Facebook ofrece Viagra
La suplantación de empresas, organismos e incluso de las fuerzas de seguridad en los correos spam es algo a lo que estamos acostumbrados cuando analizamos los múltiples casos que recibimos a diario en nuestro laboratorio. Entre todos estos ejemplos, aquellos correos electrónicos que dicen venir remitidos por alguna red social son los más abundantes.
Si la semana pasada comentábamos el uso de la recién creada Google+ como gancho para dirigir a los usuarios a farmacias online, durante este fin de semana hemos visto cómo se ha vuelto a usar Facebook con la misma finalidad. Está claro que, una vez pasada la novedad, es preferible volver a tácticas de probada eficacia.
Como observamos en la imagen, el correo suplanta muy bien a los de Facebook, al menos en la parte visual, y muestra un enlace que dice provenir del departamento de soporte de la compañía. Obviamente, este enlace es falso y en verdad dirige a otros sitios que ofrecen medicamentos en farmacias online.
Este tipo de spam es bastante frecuente y su recurrencia es debido al bajo coste que supone generar campañas similares y a que muchos usuarios siguen adquiriendo medicamentos usando estas webs. Esto no es nada recomendable, puesto que, la mayoría de las veces, se trata de falsificaciones sin ningún tipo de control médico que, en el mejor de los casos, actuarán como placebo y no tendrán ningún efecto en el usuario salvo el de hacerle sentir que ha sido estafado.
Desde el laboratorio de ESET en Ontinet.com recomendamos evitar pulsar sobre los enlaces que contienen este y otros mensajes similares. Si tenemos alguna notificación importante por parte de las redes sociales que usamos, lo más seguro es que se nos notifique también usando el sistema de mensajería interno de esa red, por lo que siempre será preferible que accedamos a nuestra cuenta desde el navegador.
Josep Albors
« Artículos Posteriores — Artículos Anteriores »