Suplantar a organismos públicos como la DGT es algo que, tradicionalmente les ha funcionado muy bien a los delincuentes y en estas fechas, con tantos desplazamientos por nuestras carreteras con motivo de las vacaciones de verano no es de extrañar que vuelvan a utilizar esta estrategia para intentar captar a nuevas víctimas. Así pues, no es de extrañar la detección de un email reciente que nos avisa de supuestas infracciones de tráfico asociadas al vehículo que tenemos a nuestro nombre.
En este email (a pesar de verse claramente que se envía
desde un remitente que no tiene nada que ver con el organismo por el que se
hace pasar) se suplanta la identidad de la Dirección General de Tráfico y se
nos proporcionan varios enlaces donde, supuestamente, se nos permite descargar
la aplicación oficial de la DGT, acceder a la web o ver las infracciones que se
nos atribuyen. Sin embargo, todos estos enlaces nos llevan a la misma URL
preparada por los atacantes para simular la descarga de un documento, documento
que no se puede previsualizar y, por lo que se nos pide que lo descarguemos en
nuestro sistema.
Al respecto de esta web, decir que la hemos observado en campañas recientes protagonizadas por familias de troyanos bancarios con origen en Latinoamérica y, más concretamente, Brasil. Si revisamos la información asociada al dominio en cuestión comprobaremos que tiene poco más de dos semanas de vida. A pesar de ello, los delincuentes le han sacado partido usándolo para varios envíos de correos maliciosos como el que estamos analizando.
En lo que respecta al fichero descargado, nos encontramos
ante el clásico archivo comprimido que contiene en su interior el código
malicioso encargado de iniciar la cadena de infección. En esta ocasión nos
volvemos a topar con un fichero LNK que se encarga de iniciar la línea de
comandos del sistema y ponerse en contacto con el dominio que acabamos de
mencionar para descargar los ficheros que componen las sucesivas fases del
ataque.
Es interesante comprobar como los delincuentes detrás de
estas campañas reutilizan, e incluso comparten, la infraestructura a pesar de
pertenecer a grupos diferentes. Esto es algo característico de los grupos de
cibercriminales brasileños responsables de amenazas similares como Grandoreiro,
Casbaneiro o, la que nos ocupa en esta ocasión, Mispadu.
La finalidad principal de estos códigos maliciosos es el robo de credenciales relacionadas con la banca online, aunque con el paso de los años, han ido ampliando sus objetivos y ahora roban también otro tipo de credenciales que puedan monetizar fácilmente, ya sea usándolas ellos mismos o vendiéndolas a otros delincuentes.
En cualquier caso, la persistencia de este tipo de campañas en España demuestra que nuestro país continúa como uno de los principales objetivos de estos grupos criminales y que aun consiguen suficientes víctimas en nuestra región. Es por ello que debemos aprender a reconocer los correos que usan como cebo y contar con soluciones de seguridad que nos ayuden a identificar y eliminar estas amenazas.