Recientes masivas campañas de Phishing utilizan a COVID-19 como Anzuelo


En los últimos meses la vida cotidiana de gran parte de la población mundial se ha visto afectada por la pandemia denominada Coronavirus (COVID-19), causando una ola de todo tipo de ciberataques que tienen como objetivo el eslabón más débil de un sistema informático, el usuario.

Las recientes investigaciones observadas alrededor del mundo destacan que dichos ataques han sido más notables en Italia, República Checa, Japón, Estados Unidos, Canadá, Australia y Turquía. Además, los atacantes no han realizado las campañas de mensajes solo inglés, sino también en italiano, checo, japonés, español y francés.

Mientras todas las industrias han sido blanco alguna vez de este tipo de ataques, actualmente cuando se usa COVID-19 como anzuelo, el objetivo suele ser en especial compañías y organizaciones de cuidado de la salud, educación, manufactura, entretenimiento, publicidad, clínicas y hospitales.

Otra característica es que los atacantes están abusando de los nombres y los logos de muchas compañías y organizaciones de confianza en un intento de manipular a los que reciben los mensajes. En especial, la suplantación de identidad y abuso de las marcas de las organizaciones de la salud nacionales e internacionales de todo el mundo, incluida la Organización Mundial de la Salud (OMS), los Centros de Control de Enfermedades de los Estados Unidos (CDC) y las organizaciones nacionales de salud de Canadá y Australia.

Los analistas destacan que los actores detrás de estas campañas buscan propagar Troyanos de acceso remoto (RATs), Keyloggers, ladrones de información (Info Stealers) y troyanos banqueros como Trickbot, así como para recolectar credenciales, que pueden ser de redes sociales, correos electrónicos, servicios en la nube, páginas de compras, entre otros.

A continuación, varios ejemplos destacados que han sido observados:

Envío de correos por etapas

Iniciamos con uno común, en el cual el atacante inicia el ataque enviando un primer correo al usuario con un asunto de urgencia para ver si el usuario pica el anzuelo, dicho correo no contiene la meta final del atacante, pero los correos subsiguientes si lo tendrán.

En este caso en particular, el atacante está suplantando la identidad de un conocido por el usuario, puede que su conocido fuera víctima de un robo de credenciales. Algo a destacar es el final del mensaje, en que solicita que responda por correo electrónico debido a que su teléfono está fuera de servicio.


Robo de Credenciales por sitio web Phishing (Microsoft Office)


Estos correos suelen ser enviados a compañías dedicadas al cuidado de la salud, son altamente personalizables de acuerdo al objetivo para incrementar su credibilidad. Suelen afirmar ser de una gran autoridad de la empresa, como el presidente o suele afirmar que son órdenes pautadas por dicha autoridad.

El mensaje del ejemplo se dirige como compañero de profesión hacia el usuario receptor, transmitiendo el mensaje que se deben cancelar todos los viajes a China y agrega un archivo adjunto de Word que dice contener instrucciones para la protección de COVID-19, el cual contiene un enlace dentro de él. Al hacer click en el enlace, lo direccionará a una página web Phishing de credenciales idéntica en formato y tema de microsoft office que solicitará un nombre y una contraseña del correo electrónico.


Envío de encuestas a los empleados


El siguiente ataque, es un correo que afirma provenir del departamento de seguridad IT hacia los empleados de la organización, con un contenido de educación respecto a COVID-19. Donde solicita al destinatario que haga click en el enlace para que llene una encuesta. De hacer click el usuario será direccionado a un sitio web Phishing  con una apariencia exacta a Outlook Web que solicitará las credenciales.


Documentos con macros maliciosos

En este mes de marzo se ha visto múltiples instancias de ataques por envío de macros maliciosos en documentos Word o Excel. Estos correos dicen provenir de un profesional médico local y miembro de alguna importante organización médica, junto con un archivo adjunto que contiene actualizaciones de las infecciones en el área cercana. Si el receptor habilita inicia los macros del documento comprimido, el documento inyectará un descargador, en este caso fue Ostap JavaScript, el cual fue utilizado para descargar un troyano bancario.


URL hacia documentos maliciosos con macros

Esta fue un correo dirigido a los padres y representantes, que aclamaba provenir de la agencia pública de la salud de Canadá. Aprovechando de las emociones parentales, dice contener actualizaciones de medidas a tomar para cuidar a lo niños del COVID-19.

El correo electrónico contiene un URL, con un enlace hacia un documento comprimido de Microsoft Word con macros. Si el usuario llega a ejecutar los macros, descargará e instalará un Malware, en este en concreto instaló el Troyano Banquero Ursnif.


Campañas promocionales de supervivencia (Spam)


Esta campaña en particular se encarga de promocionar la venta un curso de supervivencia en caso de una pandemia, sembrando miedo e incitando al usuario a ver un vídeo de más de 30 minutos de duración, antes de obtener el de compra del curso.

Los investigadores no verificaron que sucede después de realizar el pago y recomendaron a los usuarios no morder el anzuelo.

Cabe destacar que hay campañas de Spam para vender cualquier otro tipo de artículos para afrontar falsamente la epidemia, como (Kits médicos, manuales o medicinas).

Venta de mascarillas


Se estima que estos ataques seguirán ocurriendo en igual o mayor medida, es por ello que desde Arkavia Networks les dejamos las siguientes recomendaciones:

  1. Verificar la fuente del correo.
  2. Comprobar la veracidad del correo electrónico (Llamada telefónica, mensajería instantánea, etc).
  3. Si el correo contiene un enlace, no importa de donde provenga, verificar siempre el enlace antes de hacer click.
  4. Si el correo contiene un archivo o documento, no importa de donde provenga, no descargue el archivo a menos que sea necesario. En caso de descargarlo, recuerde examinarlo con algún antivirus actualizado antes de ejecutarlo.


Indicadores de Compromiso (IoCs)

Archivos - SHA256
Documento Word con Macros (Ostap) 
4616c3a50e0393ababc925b496f04f3687664e9d1c4b7966485a7a9124047214

Documento .xlam con Macros (GuLoader & AgentTesla)
4f630d3622d1e17c75aac44090b3b5bd47d5b2ae113434cde5708bbb7cffef49

Documento .doc con Macros (Ave Maria)
c9a8dd42a46e2c6849564576f96db6741ad0036726f98d7b43641907f953d3f3



URLs
hxxp[:]//www[.]agt[.]net/~mnpicker/2jgmu9r/h9a6kn.html
hxxp[:]//adsign[.]lk/wp-admin/tkennedy.php?t=[Redacted Base64]
hxxp[:]//davidrothphotography[.]com/zHzrr
hxxps[:]//bitbucket[.]org/example123321/download/downloads/foldingathomeapp.exe
hxxps[:]//toyswithpizzazz[.]com[.]au/service/coronavirus
www[.]pandemicsurvival[.]bid
coronavirusmedicalkit[.]com
groundsnack[.]icu



Fuente:

COMENTARIOS

Nombre

Actualizaciones,4,Adobe,2,Adware,3,AgentTesla,1,android,31,Antivirus,3,APP,1,Apple,16,Apps,13,Arkavia Networks,15,asus,1,Ataques,5,Azure,2,Backdoor,4,Bancos,6,Bases de Datos,4,Bluetooth,1,Botnet,4,Botnet. Malware,1,Check Point,3,Chips,1,Chrome,2,Ciberataque,4,Cibercrimen,131,Ciberdelincuencia,7,ciberseguridad,124,Cisco,1,Citrix,4,Cloud,2,CMS,1,ComRAT,1,Comunicaciones,1,Consejos,1,CONVID,1,CookieThief,1,Coronavirus,1,COVID19,2,CPU,3,Criptomonedas,6,CTF,1,cyber day,2,Cyberwarfare,5,Dark Web,2,Data Breach,3,Data Leak,10,Datos,2,DDoS,4,Deep Web,5,dlink,1,DNS,1,Domains,1,Ecommerce,3,Emotet,1,Empresas,113,enrutadores,1,Estadisticas,1,evento,1,Eventos,6,Exchange,2,exploit,5,Exploits,11,Extensiones,2,Extensions,2,F5 Networks,1,Facebook,9,Firewall,1,Firmware,2,Flash,1,Framework,1,Freta,1,Gmail,1,GoDaddy,1,google,32,Hacking,83,Hardware,7,Hosting,3,HTML5,1,IBM,1,Industria,10,Infostealer,2,Instagram,2,Intel,2,Internacional,40,Internet,34,Investigacion,9,ios,5,IoT,4,ipad,1,iphone,1,ISO,1,Joomla,1,Linux,8,Macromedia,1,Malware,39,Malwares,32,Messenger,1,MFA,1,Microsoft,34,Mirai,1,MSP,1,Mukashi,1,Nacional,10,NAS,1,Negocios,2,Netgear,1,Node.js,1,Openwrt,1,Oracle,2,OS,9,Passwordless,1,Payload,2,Paypal,1,phishing,16,Plugins,1,Protocolos,12,Python,1,QR,1,Ransomware,14,RAT,1,RCE,1,RDP,3,Recomendaciones,16,Redes,30,redes sociales,12,Redhat,1,Remoto,1,Rookit,1,Rootkit,1,Routers,2,RRSS,2,Salt,1,Salud,2,Servicios,5,Smartphones,29,SMB,4,Software,23,Sophos,1,Spamhaus,1,Spyware,11,SQL,1,SSL,1,Teams,1,Tplink,1,Trickbot,1,Trojan,1,Troyano,2,Update,5,updates,22,USB,1,Videoconferencia,1,VNC,1,VPN,3,Vulnerabilidad,22,Vulnerabilidades,74,Web,7,WhatsApp,5,wifi,5,Windows,15,Wordpress,4,XG,1,zeroday,2,Zoom,2,
ltr
item
Arkavia Networks News: Recientes masivas campañas de Phishing utilizan a COVID-19 como Anzuelo
Recientes masivas campañas de Phishing utilizan a COVID-19 como Anzuelo
https://1.bp.blogspot.com/-S2DjBaNXkA8/XnP9fz_NbpI/AAAAAAAAB6Y/eNl8XTMCyegrQLawM0wb6f4Mz_lWe51xgCLcBGAsYHQ/s640/Phishing%2BCampains%2BCOVID-19.jpg
https://1.bp.blogspot.com/-S2DjBaNXkA8/XnP9fz_NbpI/AAAAAAAAB6Y/eNl8XTMCyegrQLawM0wb6f4Mz_lWe51xgCLcBGAsYHQ/s72-c/Phishing%2BCampains%2BCOVID-19.jpg
Arkavia Networks News
https://www.arkalabs.cl/2020/03/recientes-masivas-campanas-de-phishing.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2020/03/recientes-masivas-campanas-de-phishing.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy