"Tu cuenta de correo será cancelada". Analizando los origenes de un ataque de phishing.
Recientemente hemos recibido varios correos supuestamente de "Webmaster" donde nos invitan a validar nuestros datos de correo electrónico, se lee así:
La configuración del buzón ha caducado según lo establecido por el
administrador para 2011, y usted no será capaz de recibir nuevos correos
electrónicos hasta que lo revalidar ahora para 2012.
Para volver a validar su dirección de correo electrónico, haga clic en este enlace: hxxp://c0rreo4.webs.com/contactus.htm
Gracias y perdón por las molestias.
Webmail Administrador de Seguridad.
En este correo no nos urgen tanto como en otros, simplemente nos "
amenazan" que no podremos recibir mas correos. Están utilizando una variación del ataque conocido como phishing by forms, donde utilizan sitios de formularios gratuitos, aquí los atacantes utilizan el servicio gratuito de webs.com para poner sitios de "Seguridad de Correo Web" donde solo utilizan la opción que les ofrece de crear un formulario para contactos. En este formulario solicitan el nombre, dirección de correo electrónico, contraseña, y verificación de la contraseña.
Los atacantes no solo utilizaban esta dirección, sino que tenían otros webs como
c0rreo, c0rreo1, c0rreo2, c0rreo3, c0rreo4, c0rreo5, c0rreo6, c0rreo7, c0rreo8, c0rreo9. Y en todos ellos tenían la misma plantilla y la misma forma de contacto.
**
Estos sitios fueron congelados por un reporte de abuso que se envió a webs.com, y la respuesta fue menos de un día **
Recibimos dos correos en los últimos 30 días, los dos provenían de diferentes cuentas del mismo dominio de la Universidad de Guelph en Canada (uoguelph.ca).
Los encabezados de donde viajaron los correos:
Received: from esa-annu.mail.uoguelph.ca (131.104.91.36) by AM1EHSMHS001.bigfish.com (10.3.207.101) with Microsoft SMTP Server id 14.1.225.23; Mon, 10 Sep 2012 21:45:50 +0000
X-IronPort-Anti-Spam-Filtered: true
X-IronPort-Anti-Spam-Result: AiAFAPtdTlCDaFvM/2dsb2JhbABBBAYJhXiwW4V8AYIYMnkSAg0ZAkoYAwGGA4IZC5othk6Hc4pDiEWBIYlrKoR6gRIDgSCMWYdkgRSOK16CMQJPgUAeBQ
X-IronPort-AV: E=Sophos;i="4.80,400,1344225600"; d="scan'208";a="180984676"
Received: from huron.cs.uoguelph.ca (HELO zcs1.mail.uoguelph.ca) ([131.104.91.204]) by esa-annu-pri.mail.uoguelph.ca with ESMTP; 10 Sep 2012 17:43:46 -0400
Received: from zcs1.mail.uoguelph.ca (localhost.localdomain [127.0.0.1]) by zcs1.mail.uoguelph.ca (Postfix) with ESMTP id 8FE0995A84; Mon, 10 Sep 2012 17:43:43 -0400 (EDT)
Date: Mon, 10 Sep 2012 17:43:43 -0400
From: Webmaster <yli16 @uoguelph.ca>
Reply-To: Webmaster <noreply@webmail.com>
Message-ID: <1995158053.2077968.1347313423437.JavaMail.root@huron.cs.uoguelph.ca>
Subject: =?utf-8?Q?Configuraci=C3=B3n_del_correo_electr=C3=B3nico_ha_caducado!?=
Content-Type: text/plain; charset="utf-8"
Content-Transfer-Encoding: quoted-printable
X-Originating-IP: [172.17.91.203]
X-Mailer: Zimbra 6.0.10_GA_2692 (zclient/6.0.10_GA_2692)
Received: from esa-annu.mail.uoguelph.ca (131.104.91.36) by VA3EHSMHS005.bigfish.com (10.7.99.15) with Microsoft SMTP Server id 14.1.225.23; Fri, 31 Aug 2012 21:52:27 +0000
X-IronPort-Anti-Spam-Filtered: true
X-IronPort-Anti-Spam-Result: AqMGADIxQVCDaFvO/2dsb2JhbABBBAYJhXWwOYVoAYIYMnkSAg0ZAkoYAwGGA4IWC5kxhk2Hc4o0iEWBIYloKoVFgRIDjXWHY4EUjihegi4CT4E+HgU
X-IronPort-AV: E=Sophos;i="4.80,350,1344225600"; d="scan'208";a="179814681"
Received: from erie.cs.uoguelph.ca (HELO zcs3.mail.uoguelph.ca) ([131.104.91.206]) by esa-annu-pri.mail.uoguelph.ca with ESMTP; 31 Aug 2012 17:51:12 -0400
Received: from zcs3.mail.uoguelph.ca (localhost.localdomain [127.0.0.1]) by zcs3.mail.uoguelph.ca (Postfix) with ESMTP id E21BEB4034; Fri, 31 Aug 2012 17:51:09 -0400 (EDT)
Date: Fri, 31 Aug 2012 17:51:09 -0400
From: Webmaster <vcraig @uoguelph.ca>
Reply-To: Webmaster <noreply@webmail.com>
Message-ID: <794991496.1400947.1346449869876.JavaMail.root@erie.cs.uoguelph.ca>
Subject: =?utf-8?Q?Configuraci=C3=B3n_del_correo_electr=C3=B3nico_ha_caducado!?=
Content-Type: text/plain; charset="utf-8"
Content-Transfer-Encoding: quoted-printable
X-Originating-IP: [172.17.91.201]
X-Mailer: Zimbra 6.0.10_GA_2692 (zclient/6.0.10_GA_2692)
Lo mas interesante de esto es que se puede observar el proceso por donde viaja el correo, y que incluso es analizado por varios productos antivirus y antispam.
Las direcciones donde se originan los correos son internas de la organizacion, y se utiliza el cliente zclient/6.0.10_GA_2692, aunque utilizan diferentes servidores internos de correo, al final provienen de la misma organización. Luego son recibidos por bigfish, que ya pertenece a outlook, donde esta hospedado nuestro correo.
Si buscan en internet
zclient/6.0.10_GA_2692 encontraran muchos datos relacionados a spam o scam.
El problema no es el servidor de correo, sino que utilizando las mismas tecnicas, los usuarios maliciosos obtienen informació
n de cuentas validas de Universidades, que luego utilizan para generar mas campañ
as. Y al utilizar servicios gratuitos en Internet, se exponen muy poco y pueden obtener grandes ganancias vendiendo las cuentas de correo y el acceso a ellas.
Recomendaciones:
- No contestes formas en Internet donde te soliciten nombres de usuario y contraseñas, en caso de duda acude con el administrador de tu red a preguntar.
- Si reconoces sitios que te piden esta información, reportalo con el administrador de tu red, o reportalos tu mismo como abuso en el sitio donde esta hospedada la forma.
- Si tienes oportunidad contacta al administrador de la otra red para avisar de las cuentas comprometidas, y considera incluir los encabezados de los correos.
