Phishing Anthology

Por aquí os traigo una breve y humilde aportación sobre los últimos #Ciberataques por #Phising que recibimos a diario. Supongo que, como todos, recibimos cientos de correos de este tipo, pero sin duda alguna hay algunos muy graciosos, por lo que, a modo de divulgación, concienciación y prevención, vamos a ir revisando algunos de ellos.

Empezamos por un correo el cual nos notifica que tenemos un burofax y nos lo remite el Departamento Jurídico Abogados Vinar Dogaria Verdu en Calle Lima 20, 28006, Madrid. 

​Aquí a simple vista ya empezamos a ver cosas que son extrañas:

• -Notificación burofax mediante correo electrónico.
• -La URL para descargar los archivos adjuntos.
• -Identificación como SPAM en el asunto del correo y que sea la "2ª Advertencia".
• -Error de literatura en la fecha y hora de envío (pone 04 da noviembre de 2020).
• -No lleva algún logo que pueda hacerlo más creíble.

Si revisamos la cabecera del correo, podemos ver:

• -El correo proviene de 20201105032422.A14BC296A2@alvesbatista329891.pserver.ru
• -La IP (195.123.245.242) remota es de un servidor ubicado en Praga, Republica Checa.

​Decodificamos X-VR-SPAMCAUSE y nos reporta mas información:

• -Vade Retro 01.417.106#60 AS+AV+AP+RT Profile: OVH,CHECKCE; Bailout: 500; ^Phishing-Domain (300);^SpamIp (300); Hdr=TSVcF@h000001; From=notificados.com <notificados@notificados.com>; VRPattern=FAEC695B96AD435EA8FA7A48FB3A2B47; Domain=notificados.com,azure.com; Ip=195.123.245.242; SpamIp=195.123.245.242; PhishingDomain=pserver.ru; BadReputDomain=notificados.com; ClusterSize=13; Param=mode=smtp,helo=in36.mail.ovh.net,inet=195.123.245.242,mailfrom=www-data@alvesbatista329891.pserver.ru,rcptto=info@hackbysecurity.com

Todo esto lógicamente, ya nos hace sospechar mucho mas de que estamos ante un phishing el cual debemos automáticamente eliminar el correo sin pulsar en ningún enlace.

No obstante buscando en Google ABOGADOS VINAR DOGARIA VERDU, nos aparecen una cantidad enorme de enlaces donde claramente nos indican que se trata de un Phishing.

Aquí tenemos otro bastante interesante. En este caso, la DGT nos envía "SALUDOS CORDIALES" y en el cuerpo del correo vemos que nos indican que en su sistemas hay una multa de trafico no pagada.

Una vez más, revisando rápido, podemos ver varios puntos que nos llaman la atención.

• -Dejando el cursor encima del enlace de ACCESO A SEDE ELECTRONICA, observamos que la dirección a donde nos redirige ese enlace no tiene nada que ver con la DGT o con el Ministerio de Defensa.
• -Las notificaciones de este tipo de sanciones, NUNCA nos las notificaran mediante correo electrónico ya que puede que esa cuenta no exista, por lo que NUNCA nos notificaran estas cosas por correo electrónico.
• -Son tan amables que abajo nos indicar QUE PARA VER LA NOTIFICACION, DEBEMOS ABRIRLA EN UN SISTEMA WINDOWS!!!. 

-Una vez más, decodificando X-VR-SPAMCAUSE, podemos observar más información de procedencia y vemos que viene desde un dominio con extensión .ru (Rusia, como si en España no tuviéramos servidores o dominios y más cuando se trata de estatutos públicos).

Seguimos con otro "correo de impagos" y esta vez nada más y nada menos que de Hacienda.

Aquí vemos que nos reclaman un "MONTO" de 9.522,20 (no sabemos si de euros, croquetas congeladas, filetes rusos…) el caso es que reclaman esto.

De nuevo observamos rápidamente:

• -Nos notifican "otra vez" por correo electrónico.
• -Dudo mucho que Hacienda utilice una web no segura HTTP
• -Nos indican que el teléfono del Servicio de Administración Tributaria es +35 1308 808 500 (podéis buscar ese teléfono en Google a ver que resultados os da).

Curiosamente, analizando rápidamente la cabecera, podemos observar que coincide con los datos del anterior ejemplo expuesto. Por lo que de nuevo vemos que se trata de un nuevo Ciberataque.

 Todas estas pruebas tan sencillas, son muy importantes de tener en cuenta dado que por nuestra carga de trabajo diaria, el estrés y querer hacer todo "ya", al final solemos hacer click para solventar las situaciones que nos indican en los correos, y como sabéis, una vez que pulsamos, ya no hay vuelta atrás.

Lógicamente, podríamos sacar mucha mas información para detectar el fraude, analizando más detenidamente las cabeceras, intentando tracear los correos o IPs, etc etc o incluso muchos de ellos nos adjuntan un pdf o archivo (QUE NO DEBEMOS ABRIR NUNCA) en el que podemos extraer metadatos, y creedme que es muy curioso y divertido lo que se puede obtener.

Hasta aquí mi pequeño aporte, en próximos artículos elegiremos el phishing que nos hayan enviado mas "gracioso" y haremos un pequeño post sobre el y tambien hablaremos de los diferentes fraudes telefonicos que estan cada vez mas en auge.

Muchas gracias.