Utilizan falso correo de la Registraduría para espiar y robar credenciales

El laboratorio de ESET Latinoamérica identificó que está circulando un falso comunicado que busca engañar a los usuarios para robar sus datos. Cibercriminales se hace pasar por la Registraduría Nacional de la República de Colombia, solicitando a los ciudadanos reactivar su cédula de identidad con la excusa de que fue reportada como robada.
Para desarrollar este fraude los atacantes usan como correo remitente: reportescedulas@registraduria.gov.co, empleando la técnica de suplantación de correo electrónico más conocida como email spoofing, la cual se caracteriza por utilizar una dirección fraudulenta que coincide el banco, las compañías de suministros o empresas. Generalmente suelen pedir datos personales e incluso bancarios.
Los cibercriminales se valen de esta técnica porque es más difícil para las personas advertir que se trata de un correo falso y así aumentan las probabilidades de caer en la trampa.
De acuerdo con el Blog oficial de ESET, el correo trae un enlace que redirige a un documento en formato PDF que brinda las instrucciones para supuestamente reactivar la cédula. Este documento lleva el nombre “reactivar mi cedula.pdf” y contiene un enlace que lleva a la supuesta página oficial de la entidad. Sin embargo, es un sitio web fraudulento que guía a las personas a descargar un troyano de acceso remoto (RAT, por sus siglas en inglés) que debe ser descomprimido utilizando la contraseña 2022.
“Debemos recordar que los RAT son peligrosos porque permiten a un atacante tomar el control total de un equipo infectado, muchas veces sin que el usuario tenga conocimiento de esto. Una vez que un cibercriminal tiene acceso remoto a un dispositivo puede realizar varias acciones maliciosas, que van desde robar información sensible como contraseñas almacenadas en el navegador, archivos u otros documentos, así como realizar capturas de pantalla, grabar audio, o manipular el sistema de la víctima”, explica Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
El malware (software malicioso diseñado para dañar o explotar cualquier dispositivo, servicio) que distribuye esta campaña de phishing (método para intentar recopilar información personal utilizando correos electrónicos y sitios web engañosos) es conocido como AsyncRAT, una herramienta de acceso remoto muy popular y utilizada por distintos delincuentes. De hecho, el mes pasado desde ESET se analizó la campaña de espionaje Operación Absoluta, que apuntaba a organismos gubernamentales y empresas de Colombia y también utilizaba AsyncRAT.
“Lamentablemente es cada vez más frecuente observar en América Latina campañas que utilizan lo que se conoce como 'commodity malware'; es decir, 'malware' que puede adquirirse fácilmente al estar disponible para su descarga o compra en foros clandestinos y que utilizan varios grupos criminales”, señala Gutiérrez Amaya.
ESET extiende las siguientes recomendaciones para evitar ser víctimas de este tipo de campañas:
- Revisar la dirección desde la cual se envió el correo. Si bien algunas veces es evidente que es una dirección sospechosa, en otros casos, como en esta campaña que describimos, podría prestarse a la confusión ya que el dominio parece ser legítimo.
- Revisar el contenido del mensaje. Por ejemplo, faltas de ortografía o cualquier otra inconsistencia que llame la atención. Si bien los atacantes han mejorado mucho este aspecto, es una herramienta más para detectar estos correos.
- No descargar archivos adjuntos de correos que llegan de manera inesperada o si se tienen dudas de la legitimidad del mismo.
- Revisar las extensiones de los archivos antes de descargar y abrir. Por ejemplo, si un archivo termina con “.pdf.exe” la última extensión es la que determina el tipo de archivo. En este caso seria “.exe” un ejecutable.
- Si un correo incluye un enlace y algo genera sospechas, evitar hacer clic.
- Ser prudentes al descargar y extraer archivos comprimidos .zip/.bz2 de fuentes no confiables, ya que suelen ser utilizados para ocultar códigos maliciosos y evadir ciertos mecanismos de seguridad.
- Tener los equipos y aplicaciones actualizados a la versión más reciente.
- Utilizar una solución de seguridad confiable en cada uno de los dispositivos, ya que una solución antivirus puede detectar a tiempo estos correos y bloquearlos.