Desde inicios de esta semana venimos observando como esta campaña se ha estado propagando con intensidad entre los buzones de entradas de muchos usuarios. Suelen ser correos con una plantilla similar a la observada en anteriores ocasiones y que hace referencia a un email del departamento de recursos humanos con información de la nómina del mes de julio y que nos invitan a revisar pulsando sobre un enlace proporcionado en el cuerpo del mensaje.
Este enlace nos redirige a una de las tantas direcciones IP bajo el dominio secureserver[.]net (pertenecientes a la empresa GoDaddy) y que los delincuentes están abusando para esta campaña. Esto es un cambio con respeto a campañas anteriores donde loa delincuentes abusaban de los registros en la empresa Contaboserver[.]net para campañas similares.
Si el usuario pulsa sobre el enlace proporcionado, se cargará una web registrada como “safe-pdf-viewer[.]lat” mostrando el siguiente mensaje indicando que hay un documento disponible para su descarga
Durante los últimos meses hemos visto como los delincuentes usaban esta técnica en numerosas ocasiones para convencer a sus víctimas para que descargasen el código malicioso que inicia la cadena de infección. Ya sea usando como gancho todo tipo de facturas o incluso supuestas multas de tráfico para tratar de ser más convincentes.
Al revisar el código de la web de descarga encontramos comentarios en portugués, lo que confirma nuestras sospechas de encontrarnos ante un grupo de ciberdelincuentes con origen brasileño y que tanto han dado que hablar durante hace años por los ataques realizados de forma constante en Latinoamérica y España.
En lo que respecta al dominio usado por los delincuentes para alojar la web donde se avisa de la descarga de un fichero, y el alojamiento del propio fichero en sí, está fue registrada el pasado 15 de agosto, por lo que es muy probable que haya sido usado en campañas recientes y se intente reutilizar en campañas futuras, aunque su tasa de éxito se verá limitada por estar ya incluido la URL en varias listas negras.
Dentro del archivo descargado podemos encontrar varios ficheros como, por ejemplo, instaladores legítimos del software de compresión 7zip, aunque lo que nos interesa son los ficheros HTA que contiene el archivo comprimido que descargamos. El nombre de estos ficheros puede hacer pensar a los usuarios que están ante la nómina que se indicaba en el correo, pero, como veremos a continuación, nada más lejos de la realidad.
Si revisamos el código de estos ficheros, volveremos a encontrarnos cadenas de texto escritas en portugués haciendo referencia a una actualización esencial de seguridad. Además, dentro del código también se observan cadenas de texto incluidas como basura, algo característico de algunas variantes de troyanos bancarios brasileños como Grandoreiro.
Este código genera una supuesta alerta que trata de engañar a la víctima indicando que hay actualizaciones de seguridad pendientes de ser instaladas en el sistema. Sin embargo, en realidad se procede a instalar en segundo plano la carga maliciosa preparada para esta campaña por los ciberdelincudentes, que habitualmente se corresponde con un troyano especializado en el robo de todo tipo de credenciales, especialmente aquellas relacionadas con entidades bancarias.
Una vez más, comprobamos como el asunto de la supuesta nómina vuelve a ser utilizado por los delincuentes para conseguir nuevas víctimas, justo cuando los usuarios están a la espera de cobrar su salario mensual. Sabemos por experiencia que esta técnica va a continuar usándose mientras genere resultados o hasta que se desarrolle otra más eficiente, por lo que conviene estar alerta ante este tipo de mensajes y contar con una solución de seguridad capaz de detectar este tipo de amenazas antes incluso de que lleguen a nuestro buzón de entrada.
Josep Albors