A nadie le gusta tener que pagar multas de tráfico ¡y menos si provienen de un país que no hemos visitado recientemente!. Continuando con la tradición de los ciberdelincuentes de esa región del mundo, centrados principalmente en la creación y propagación de troyanos bancarios, hemos recibido un correo electrónico en nuestro laboratorio en el que se nos avisa de unas supuestas multas de tráfico pendientes de pagar. Como ninguno de nosotros ha tenido la suerte de viajar a tierras brasileñas recientemente sospechamos de inmediato del correo y empezamos a analizarlo.
Observamos que el correo se compone de una cabecera que simula ser la del equivalente brasileño a nuestra Dirección General de Tráfico (Departamento de Estradas de Rodagem o DER en Brasil). Seguidamente se nos indica en portugués que tenemos varias notificaciones de multas pendientes y se nos invita a pulsar sobre el enlace proporcionado para acceder a las mismas. Es en este punto donde deben saltar todas las alarmas ya que, si bien todos los enlaces apuntan a una misma dirección que empieza por un dominio que simula ser auténtico (http://portal-der.com/consulta/) el resto del enlace nos redirige a la descarga de un código malicioso que las soluciones de seguridad de ESET detectan un troyano.
Hasta aquí todo bastante normal y, aunque en Brasil este tipo de correos pueden engañar fácilmente a los usuarios al usar organismos oficiales locales, dudamos que fuera de ese territorio logre un alto porcentaje de éxito. No obstante, este ejemplo debería hacernos reflexionar sobre amenazas similares que podamos recibir en España. Llevamos meses alertando de la suplantación de organismos y fuerzas de seguridad del estado como la Agencia Tributaria, la Guardia Civil o la Policía Nacional y suponemos que, si se siguen usando estos métodos de suplantación es porque tienen un éxito más elevado que el spam tradicional.
Con respecto al ejemplo que hemos visto, en España la Dirección General de Tráfico permite registrarnos en un sistema de avisos para consultar posibles multas usando la dirección electrónica vial (DEV). Estos avisos se pueden revisar en el portal web preparado para tal efecto en https://sede.dgt.gob.es/sede/. Ahora bien, ¿qué sucedería si alguien preparase una campaña similar a la que hemos analizado en este post pero adaptado a nuestro territorio?. No sería muy difícil enviar millones de correos spam con enlaces que dirigiesen a un dominio con una dirección web similar a la usada por la DGT y alojar ahí malware. ¿Y porqué detenernos ahí? Los ciberdelincuentes podrían preparar también una web que clonara la original pero que nos pidiera los datos de nuestra tarjeta de crédito para pagar infracciones de tráfico que no hemos cometido. Sería como un phishing bancario pero con multas de tráfico.
Como vemos, conseguir engañar al usuario para que caiga en la trampa de los ciberdelincuentes solo requiere de un poco de ingenio. Desde el laboratorio de ESET en Ontinet.com esperamos que posts como este ayuden a los usuarios a distinguir aquellos correos trampa para evitar que nuestro equipo quede infectado.
Josep Albors