En los últimos años se han ejecutado varias campañas de phishing dirigidas a Colombia y otros países de la región con el objetivo de distribuir malware.
Uno de los métodos que usan para hacer caer a sus víctimas es utilizar los nombres de los organismos públicos para generar más credibilidad y así sacar provecho de la situación.
En ese sentido, el laboratorio de ESET Latinoamérica identificó que está circulando un falso comunicado que busca engañar a los usuarios.
Como se puede observar en la Imagen a continuación, los cibercriminales se hacen pasar por la Registraduría Nacional de la República de Colombia solicitando a los ciudadanos que reactiven su cédula de identidad con la excusa de que fue reportada como robada.
El correo del remitente es [email protected], lo que indica que el cibercriminal está empleando la técnica de suplantación de correo electrónico más conocida como email spoofing.
Los cibercriminales se valen de esta técnica porque es más difícil para las personas advertir que se trata de un correo falso y así aumentan las probabilidades de que caigan en la trampa.
Imagen 1. Correo de phishing suplantando la identidad del organismo público.
El correo contiene un enlace que redirige a un documento en formato PDF que brinda las instrucciones para supuestamente reactivar la cédula.
Este documento lleva el nombre “reactivar mi cedula.pdf” y contiene un enlace que lleva a la supuesta página oficial de la entidad. Sin embargo, es un sitio web fraudulento que guía a las personas a descargar un troyano de acceso remoto (RAT, por sus siglas en inglés) que debe ser descomprimido utilizando la contraseña “2022”.
Relacionado: Colombia fue el segundo país más ciber atacado en Latinoamérica en 2022: estudio
“Debemos recordar que los RAT son peligrosos porque permiten a un atacante tomar el control total de un equipo infectado, muchas veces sin que el usuario tenga conocimiento de esto. Una vez que un cibercriminal tiene acceso remoto a un dispositivo puede realizar varias acciones maliciosas, que van desde robar información sensible como contraseñas almacenadas en el navegador, archivos u otros documentos, así como realizar capturas de pantalla, grabar audio, o manipular el sistema de la víctima.”, explica Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
El malware que distribuye esta campaña de phishing es conocido como AsyncRAT, una herramienta de acceso remoto muy popular y utilizada por distintos actores maliciosos.
De hecho, el mes pasado, desde ESET se analizó la campaña de espionaje Operación Absoluta, que apuntaba a organismos gubernamentales y empresas de Colombia y también utilizaba AsyncRAT.
“Lamentablemente es cada vez más frecuente observar en América Latina campañas que utilizan lo que se conoce como commodity malware; es decir, malware que puede adquirirse fácilmente al estar disponible para su descarga o compra en foros clandestinos y que es utilizado por varios grupos criminales.”, señala Gutiérrez Amaya de ESET.
Recomendaciones para evitar ser víctimas de un malware
- Revisar la dirección desde la cual se envió el correo. Si bien algunas veces es evidente que es una dirección sospechosa, en otros casos, como en esta campaña que describimos, podría prestarse a la confusión ya que el dominio parece ser legítimo.
- Revisar el contenido del mensaje. Por ejemplo, faltas de ortografía o cualquier otra inconsistencia que llame la atención. Si bien los atacantes han mejorado mucho este aspecto, es una herramienta más para detectar estos correos.
- No descargar archivos adjuntos de correos que llegan de manera inesperada o si se tienen dudas de la legitimidad del mismo.
- Revisar las extensiones de los archivos antes de descargar y abrir. Por ejemplo, si un archivo termina con “.pdf.exe” la última extensión es la que determina el tipo de archivo, en este caso seria “.exe” un ejecutable.
- Si un correo incluye un enlace y algo genera sospechas, evitar hacer clic.
- Ser prudentes al descargar y extraer archivos comprimidos .zip/.bz2 de fuentes no confiables, ya que suelen ser utilizados para ocultar códigos maliciosos y evadir ciertos mecanismos de seguridad.
- Tener los equipos y aplicaciones actualizados a la versión más reciente.
- Utilizar una solución de seguridad confiable en cada uno de los dispositivos, ya que una solución antivirus puede detectar a tiempo estos correos y bloquearlos.
