Nueva campaña de Phishing se disfraza de advertencia de Spamhaus para propagar Malware


Desde hace bastante tiempo ha existido el spam, el cual es conocido como correo electrónico no solicitado, no deseado o de un remitente desconocido. Actualmente existe un método para evitar este tipo de correos, a través de las nombradas listas de bloqueo de spam (SBL), las cuales son usadas por los servidores de correo electrónico (email servers), con el fin de bloquear todos los correos que estén enlistados y evitar el spam, donde una de las organizaciones bien conocidas que se encarga de crearlas es Spamhaus.

Recientemente se ha observado una campaña de Phishing que pretende hacerse pasar por un correo de Spamhaus Project para distribuir malware, la misma, se realiza al alertar al destinatario que su email se ha agregado a una lista de bloqueo de spam, debido al envío de emails no solicitados, además, de no solucionarlo rápidamente, será agregado a la lista negra (Blacklist). Cabe destacar que para un administrador de correos electrónicos es una situación bastante grave, no solo por la importancia del mensaje, sino también por la ardua tarea que es deslistar una dirección IP o dominio de una lista negra (Blacklist).

El email en el asunto alerta al remitente que debe tomar acción urgentemente “Urgently Take Action”, en el contenido explica la razón, la cual es que la dirección de correo electrónico a sido agregada a la Lista de bloqueo de Spamhaus (Spamhaus Block List - SBL) y para evitar que escale a una blacklist, debe de seguir las instrucciones que se encuentran en el URL agregado en el email.


Phishing Email de Spamhaus


El correo electrónico contiene un enlace de Google Drive y una contraseña, las cuales supuestamente son para un archivo que contiene las instrucciones necesarias para eliminar la dirección de correo electrónico de la SBL. 

Al hacer click en el enlace, descarga un archivo protegido con contraseña nombrado “SPAMHAUS_SBL_i9k#888771.zip”, dentro del archivo contiene un Visual Basic Script (VBS) ofuscado, llamado SPAMHAUS_SBL_i9k.vbs. En el momento que se ejecuta el archivo VBS, crea un archivo de texto con nombre aleatorio en la carpeta %Temp%, el cual son ejecutables del malware Ursnif y son lanzados por el script.


Archivos ejecutables de Ursnif extraídos

Ursnif es un troyano usado para robar datos (data-stealing) que registra lo que se escribe en una computadora, sitios web visitados, lo copiado en el portapapeles (clipboard) y programas ejecutados. Toda la información es almacenada en archivos de logs y enviada al atacante. Cabe señalar que el uso de esta información suele ser usada para obtener datos importantes o control al comprometer todos los accesos de la víctima, como sus credenciales de inicio de sesión o incluso la red a la que está conectado.


Recomendaciones:

Desde Arkavia Networks sabemos la alta exposición a este tipo de ataques que aplican ingeniería social, es por eso que les dejamos las siguientes recomendaciones de prevención:

  1. Abra solo correo que espera recibir.
  2. En caso de abrirlo, examine el remite muy cuidadosamente.
  3. Realicé un escaneo a los URLs (si los contiene).
  4. No importa de donde provenga el correo, escanee los archivos descargados antes de abrirlos.
  5. De recibir frecuentemente estos correos, comunicarse con los administradores de la red o de correos para que tomen las medidas necesarias.


IOC

Ursnif (SHA-256)
5692db418539eda5d897e4eaabe43b31675220f2f6173b8c6c87b969d91329d4

COMENTARIOS

Nombre

Actualizaciones,2,Adobe,1,Adware,3,android,28,Antivirus,3,Apple,14,Apps,12,Arkavia Networks,13,asus,1,Ataques,5,Azure,2,Backdoor,4,Bancos,6,Bases de Datos,2,Bluetooth,1,Botnet,3,Botnet. Malware,1,Check Point,3,Chips,1,Chrome,1,Ciberataque,2,Cibercrimen,124,Ciberdelincuencia,3,ciberseguridad,98,Cisco,1,Citrix,3,Cloud,2,CMS,1,Comunicaciones,1,CookieThief,1,Coronavirus,1,COVID19,2,CPU,3,Criptomonedas,4,cyber day,2,Cyberwarfare,5,Dark Web,2,Data Leak,8,Datos,2,DDoS,2,Deep Web,5,dlink,1,Ecommerce,2,Emotet,1,Empresas,113,enrutadores,1,Eventos,5,Exchange,1,exploit,1,Exploits,11,F5 Networks,1,Facebook,7,Firmware,2,google,27,Hacking,83,Hardware,7,Hosting,2,Industria,10,Infostealer,1,Instagram,2,Intel,2,Internacional,40,Internet,34,Investigacion,7,ios,4,IoT,3,ISO,1,Linux,7,Malware,34,Malwares,32,Microsoft,28,Mirai,1,MSP,1,Mukashi,1,Nacional,10,NAS,1,Negocios,2,Netgear,1,Node.js,1,Openwrt,1,Oracle,1,OS,9,Payload,2,Paypal,1,phishing,14,Plugins,1,Protocolos,12,Python,1,Ransomware,13,RCE,1,RDP,1,Recomendaciones,15,Redes,30,redes sociales,12,Redhat,1,Remoto,1,Rootkit,1,Routers,2,RRSS,1,Salud,2,Servicios,5,Smartphones,29,SMB,2,Software,23,Spamhaus,1,Spyware,11,SQL,1,SSL,1,Tplink,1,Trickbot,1,Trojan,1,Troyano,2,Update,4,updates,22,VPN,3,Vulnerabilidad,12,Vulnerabilidades,68,Web,5,WhatsApp,4,wifi,5,Windows,12,Wordpress,4,Zoom,2,
ltr
item
Arkavia Networks News: Nueva campaña de Phishing se disfraza de advertencia de Spamhaus para propagar Malware
Nueva campaña de Phishing se disfraza de advertencia de Spamhaus para propagar Malware
https://1.bp.blogspot.com/-s0b4r-4EAaM/Xjl2tnserpI/AAAAAAAAB1k/e48MREBMcFslow877Rfmmghh2WZrZx_SACLcBGAsYHQ/s1600/Phishing%2BSpamhaus%2BEmail.jpg
https://1.bp.blogspot.com/-s0b4r-4EAaM/Xjl2tnserpI/AAAAAAAAB1k/e48MREBMcFslow877Rfmmghh2WZrZx_SACLcBGAsYHQ/s72-c/Phishing%2BSpamhaus%2BEmail.jpg
Arkavia Networks News
https://www.arkalabs.cl/2020/02/nueva-campana-de-phishing-se-disfraza.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2020/02/nueva-campana-de-phishing-se-disfraza.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy