Final de mes es el momento aprovechado por los cibermalos para renovar sus campañas específicas de phishing dirigidas a los trabajadores. Investigadores de la compañía de ciberseguridad ESET han identificado una nueva oleada de correos electrónicos que emulan al departamento de Recursos Humanos y emplean como gancho la revisión de la nómina mensual para distribuir malware especializado en el robo de credenciales bancarias. Los expertos señalan que se está reutilizando una temática ya conocida, pero con modificaciones en la infraestructura usada para así evitar los sistemas de detección.
Diseño para robar credenciales
Los mensajes presentan una apariencia similar a la de campañas anteriores: en ellos se informa al usuario de que tiene disponible su nómina correspondiente al último mes y se le invita a pulsar sobre un enlace para revisarla. Pero, en lugar de acceder a un documento legítimo, la víctima es redirigida a una página fraudulenta desde la que se descarga un archivo comprimido aparentemente inofensivo.
El análisis realizado por ESET revela que esta campaña introduce algunos cambios respecto a las detectadas en meses anteriores. Los ciberdelincuentes están utilizando nuevas direcciones bajo el dominio secureserver[.]net, en vez de la infraestructura empleada previamente, para redirigir a las víctimas hacia una web fraudulenta donde se ofrece la descarga del supuesto documento.
Posible participación de cibercriminales brasileños
Cuando se descarga el archivo, el usuario encuentra varios ficheros, entre ellos instaladores legítimos de software y archivos HTA cuyo nombre incita a pensar que contienen la nómina. Sin embargo, en realidad, estos archivos ejecutan código malicioso que muestra una falsa actualización de seguridad mientras instala en segundo plano un troyano bancario ‘adiestrado’ para robar credenciales, sobre todo las vinculadas con servicios financieros.
Los expertos también han localizado comentarios en portugués tanto en la página de descarga como en el código malicioso, detalle que sugiere la posible participación de grupos de ciberdelincuentes brasileños, conocidos por este tipo de ataques en España y Latinoamérica. El análisis también revela similitudes con variantes de troyanos bancarios como Grandoreiro.
Extremar la precaución
Los investigadores señalan que esta campaña adapta una técnica que lleva meses observándose y que seguirá utilizándose mientras continúe siendo efectiva. Para afrontar el peligro, recomiendan extremar la precaución ante correos relacionados con la nómina o documentos laborales y disponer con una solución de seguridad capaz de detectar estas amenazas antes de que alcancen el buzón de entrada.
Deja una respuesta