Si la semana pasada dábamos la alerta por una distribución masiva de spam que contenía enlaces a webs legítimas comprometidas que estaban sirviendo malware sin saberlo, esta semana tenemos un caso muy similar pero que en esta ocasión se hace pasar por envíos de fax digitales. Todo empieza con la llegada de un email a nuestro buzón de correo en el cual se nos avisa en perfecto inglés de la recepción de un fax.
En dicho correo se nos proporcionan varios enlaces para visualizar el supuesto fax, pero la realidad es que estos enlaces pertenecen a sitios webs legítimos de todo el mundo que, al igual que ha sucedido con anterioridad, se encuentran redireccionando a un sitio con malware sin saberlo. Cuando pulsamos sobre uno de estos enlaces se descarga un archivo malicioso en nuestro sistema, pero analicemos brevemente cómo funciona esta descarga.
Al acceder a la web y analizar su código fuente nos encontramos con que este se encuentra ofuscado, pero nada de lo que nuestros chicos del laboratorio no puedan encargarse.
Una vez descifrado el código nos encontramos ante algo más legible, bueno, más legible si eres programador web y te estas peleando con javascripts a diario. En definitiva, lo que nos interesa es que, entre tanta maraña de código, encontramos un enlace a un servidor desde el cual se está ofreciendo un fichero muy sospechoso.
Tras analizar el código que hay detrás de la descarga de este malware, volvemos a lo que el usuario que ha pulsado inocentemente sobre el enlace ve, que no es otra cosa que un archivo con un nombre que sugiere una actualización del programa Flash Player. En realidad se trata de un código malicioso que las soluciones de seguridad de ESET catalogan como Win32/Adware.SystemSecurity.AL.
Como vemos, hay técnicas que no pasan de moda y que solo necesitan de un poco de adaptación para conseguir infectar un número importante de máquinas. Desde hace tiempo venimos observando que los creadores de malware prefieren infectar sitios web legítimos en lugar de generar sus propios dominios maliciosos. Esto es debido a los esfuerzos que se están realizando para bloquear webs potencialmente peligrosas o con mala reputación. Además, también se puede automatizar la búsqueda de webs legítimas con fallos de seguridad, por lo que los ciberdelincuentes no tienen que molestarse en crear sus propios dominios.
Es por ello que, desde el laboratorio de ESET NOD32 España en Ontinet.com, recomendamos ir con mucho cuidado con este tipo de correos y descartarlos tan pronto como lleguen a nuestra bandeja de entrada.