Introducción
Los ciberdelincuentes no paran, están a la caza y a la
pesca todo el tiempo, y usando técnicas de Ingeniería Social, tratan de engañar
a usuarios de correo electrónico con el fin de tener un rédito, que básicamente
es un pago en bitcoins. Y este tipo comportamiento crece, porque ellos reciben
su pago.
Vamos a
analizar un correo recibido en el día de hoy
Impacto
Te imaginas que, al ingresar a tu casilla de correo, ¡ves
un correo con la leyenda “...ha sido hackeado! ¡Cambie su contraseña inmediatamente!",
debe generar en ti, una interesante cara de pánico a menos que estés tranquilo
con el uso que haces de la plataforma.
Los correos que
están circulando, dicen algo similar a esto (ahora en español):
Tengo malas
noticias para ti.
23/07/2018 - en este día pirateé su sistema operativo y obtuve acceso completo
a su cuenta edutra@puntonetsoluciones.com.ar.
Así fue como fue.
En el software del enrutador a través del cual se conectó, hubo una
vulnerabilidad.
Primero pirateé este enrutador y puse mi código malicioso en él.
Cuando ingresó a través de Internet, mi troyano se instaló en el sistema
operativo de su dispositivo.
Después de eso, hice un volcado completo de su disco (tengo toda su libreta de
direcciones,
historial de sitios de visualización, todos los archivos, números de teléfono y
direcciones de todos sus contactos).
Hace un mes, quería bloquear su dispositivo y pedir una pequeña cantidad de
dinero para desbloquear.
Pero miré los sitios que visitas regularmente. Estoy sorprendido por tus
recursos favoritos.
Estoy hablando de sitios para adultos.
Quiero decir que eres un gran pervertido. ¡Has desenfrenado la fantasía!
Después de eso, una idea vino a mi mente.
Tomé una captura de pantalla del sitio web íntimo donde te diviertes (sabes a
qué me refiero, ¿sí?).
Después de eso tomé una foto de tu entretenimiento (usando la cámara de tu
dispositivo).
El resultado fue genial! No lo dudes!
Estoy profundamente convencido de que no le gustaría mostrar estas imágenes a
sus familiares, amigos o colegas.
Creo que $252 es una pequeña cantidad para mi silencio.
¡Además, pasé mucho tiempo contigo!
Acepto dinero en bitcoins.
Mi billetera BTC: 14DRztZdJ8RHM954AYsUPrsTvYJk6g9h9j
¿No sabes cómo transferir dinero a Bitcoin?
En cualquier motor de búsqueda escriba "¿Cómo transferir dinero a
bitcoin".
¡Es más fácil que transferir dinero a una tarjeta de crédito!
Para el pago tienes un poco más de dos días (exactamente 50 horas).
No se preocupe, el temporizador comenzará en el momento en que abra esta carta.
Sí, sí ... ¡Ya ha comenzado!
Después del pago, mi virus y el compromiso contigo se autodestruyen
automáticamente.
Narrativa: si no recibo la cantidad especificada de usted, su dispositivo se
bloqueará y todos sus contactos recibirán una foto con su
"entretenimiento".
Quiero que seas prudente.
- ¡No intentes encontrar y destruir mi virus! (Todos sus datos ya están
cargados en un servidor remoto)
- No intente contactarme (esto no es factible, le envié un correo electrónico
desde su cuenta)
- Varios servicios de seguridad no lo ayudarán; formatear un disco o destruir
un dispositivo tampoco ayudará, ya que sus datos ya están en un servidor
remoto.
P.S. Te garantizo que no te molestaré otra vez después del pago, ya que estás
lejos de mi única víctima.
Este es un código de honor hacker.
A partir de ahora, le aconsejo que use buenos antivirus y que los actualice
regularmente (varias veces al día).
No te enfades conmigo, cada uno tiene su propio trabajo.
Adios
Más allá de analizar el correo, toda una narración que
puede o no engañar al receptor del correo, observamos que genera inquietud y
trata de atemorizar al usuario. En las últimas versiones ya ni siquiera mandan
un dato conocido por el usuario para tratar de convencerlo que es verdad lo que
se está narrando. En las versiones anteriores mandaban alguna contraseña
conocida obtenida de bases de datos robadas como las que figuran en el sitio
https://raidforums.com/, como para darle algún soporte o veracidad al e-mail.
Si bien el correo parece ser enviado por el mismo
usuario, vamos analizar el encabezado, podemos usar para eso, el sitio https://mxtoolbox.com/, en donde hay una
opción en donde podemos obtener un detalle disgregado del encabezado del correo
electrónico.
Headers Found
Header Name
|
Header Value
|
Delivered-To
|
edutra@puntonetsoluciones.com.ar
|
X-Google-Smtp-Source
|
AFSGD/Ub9Ux/cgwOS/3NA39aaNT3omrX3uaL0MU/tYDE+Pxt4oWU2EzKn3GmOTGj+eO/FXLsobXn
|
X-Received
|
by
2002:adf:c3c9:: with SMTP id d9mr18579972wrg.68.1543105400384; Sat, 24 Nov
2018 16:23:20 -0800 (PST)
|
Received
|
from
14-203-206-149.tpgi.com.au (14-203-206-149.tpgi.com.au. [14.203.206.149]) by mx.google.com with ESMTP id
j68si9838716wmi.162.2018.11.24.16.23.18 for
<edutra@puntonetsoluciones.com.ar>;Sat, 24 Nov 2018 16:23:20 -0800
(PST)
|
From
|
<edutra@puntonetsoluciones.com.ar>
|
To
|
<edutra@puntonetsoluciones.com.ar>
|
Subject
|
edutra@puntonetsoluciones.com.ar ha sido hackeado! ¡Cambie su contraseña inmediatamente!
|
Date
|
25
Nov 2018 18:59:16 +0900
|
Message-ID
|
<001701d484a8$03493e2d$42bfcc86$@puntonetsoluciones.com.ar>
|
MIME-Version
|
1.0
|
X-Mailer
|
Microsoft
Office Outlook 11
|
Thread-Index
|
Ac0g3lo5x1scxi8c0g3lo5x1scxi8c==
|
X-MimeOLE
|
Produced
By Microsoft MimeOLE V6.1.7601.17514
|
Y encontramos datos interesantes.
1) Mail enviado desde 14-203-206-149.tpgi.com.au,
dirección IP 14.203.206.149.
2) El SMTP verificado, es el 14-203-206-149.tpgi.com.au,
puerto 25.
3) Google recibe el correo, enviado por un Ms Office
Outlook.
4) Según Mxtoolbox esta dirección de DNS e IP ya se
encuentra en listas negras.
5) Si buscamos el monedero en www.blockchain.com, observamos que ya hay
gente que ha caído en las garras del intruso y ha pagado
Análisis del correo
A pedido de algunos lectores, hemos realizado comentarios al e-mail que manda el ciberdelincuente. Los comentarios, los pusimos en rojo para mejor lectura.
Te saludo!
Tengo malas noticias para
ti.
23/07/2018 - en este día
pirateé su sistema operativo y obtuve acceso completo a su cuenta edutra@puntonetsoluciones.com.ar.
(Hace referencia a una fecha muy vieja, por que seguro no
tienes memoria o no te acuerdas)
Así fue como fue.
En el software del
enrutador a través del cual se conectó, hubo una vulnerabilidad.
Primero pirateé este
enrutador y puse mi código malicioso en él.
(NO puso que marca ni un dato que nos permita saber que enrutador o router
hace referencia)
Cuando ingresó a través de
Internet, mi troyano se instaló en el sistema operativo de su dispositivo.
(Es posible que
el antivirus de tu equipo lo detectara o no, te acuerdas de alguna detección).
Después de eso, hice un
volcado completo de su disco (tengo toda su libreta de direcciones,
historial de sitios de
visualización, todos los archivos, números de teléfono y direcciones de todos
sus contactos).
(Si esto fuera así, llevaría un tiempo interesante en copiarse el disco
completo!!!, puede ocurrir que tenga alguna información, pero es poco creíble
que tenga todo el disco, el tiempo que le llevaría y la lentitud de acceso a
Internet debería haber despertado alguna sospecha en ti)
Hace un mes, quería bloquear su dispositivo y pedir una pequeña cantidad de
dinero para desbloquear.
Pero miré los sitios que
visitas regularmente. Estoy sorprendido por tus recursos favoritos.
Estoy hablando de sitios
para adultos.
Quiero decir que eres un
gran pervertido. ¡Has desenfrenado la fantasía!
(no hace referencia de nada, por lo cual no tiene pruebas de que esto fuera
realmente así, esta tanteando, si tuviera evidencia la usaría para darle más
soporte al correo que te envía. Ahora la intrusión sería personalizada, no
podría hacer esto tan masivo).
Después de eso, una idea vino a mi mente.
Tomé una captura de
pantalla del sitio web íntimo donde te diviertes (sabes a qué me refiero,
¿sí?).
Después de eso tomé una
foto de tu entretenimiento (usando la cámara de tu dispositivo).
El resultado fue genial! No
lo dudes!
(Sugerimos tener la cámara Web tapada y no acceder a sitios dudosos, en la mayoría
de los casos, cuandos e activa la cámara, te das cuenta por que se enciende una
luz al lado. Estuvo viendo mucho Black Mirror este spammer).
Estoy profundamente
convencido de que no le gustaría mostrar estas imágenes a sus familiares,
amigos o colegas.
(Cuales? Que contenidos? Que familiares? Está solo tanteando nada más).
Creo que $252 es una pequeña cantidad para mi silencio.
¡Además, pasé mucho tiempo
contigo!
Acepto dinero en bitcoins.
Mi billetera BTC: 14DRztZdJ8RHM954AYsUPrsTvYJk6g9h9j
(Es la única manera de pagarle, ya que es una transferencia de un pago que
no se puede rastrear, por eso lo hace con btc).
¿No sabes cómo transferir
dinero a Bitcoin?
En cualquier motor de
búsqueda escriba "¿Cómo transferir dinero a bitcoin".
¡Es más fácil que
transferir dinero a una tarjeta de crédito!
Para el pago tienes un poco
más de dos días (exactamente 50 horas).
No se preocupe, el
temporizador comenzará en el momento en que abra esta carta. Sí, sí ... ¡Ya ha
comenzado!
(El correo no tiene acuse de recibo, él no puede saber nunca si leíste o no
el correo, a parte el correo emisor eres tú mismo, excepto que el dispositivo
tenga un keylogger, no hay manera de que él sepa que has leído el correo)
Después del pago, mi virus
y el compromiso contigo se autodestruyen automáticamente.
Narrativa: si no recibo la
cantidad especificada de usted, su dispositivo se bloqueará y todos sus
contactos recibirán una foto con su "entretenimiento".
(Ejecuta un análisis del antimalware y verifica si hay algún código malicioso,
si no hay nada, no hay de que preocuparse. Por otro lado no puedes confiar que
luego de un pago, tenga la gentileza de borrar algo, más allá que no tiene nada
que borrar porque no ha capturado información alguna).
Quiero que seas prudente.
- ¡No intentes encontrar y
destruir mi virus! (Todos sus datos ya están cargados en un servidor remoto)
- No intente contactarme
(esto no es factible, le envié un correo electrónico desde su cuenta)
- Varios servicios de
seguridad no lo ayudarán; formatear un disco o destruir un dispositivo tampoco
ayudará, ya que sus datos ya están en un servidor remoto.
(El no muestra ninguna evidencia de este chantaje, por lo cual, no debe
tener ninguna información de la PC, solo debe tener tu casilla de correo
electrónico a donde se envió el e-mail.)
P.S. Te garantizo que no te
molestaré otra vez después del pago, ya que estás lejos de mi única víctima.
Este es un código de honor
hacker.
A partir de ahora, le
aconsejo que use buenos antivirus y que los actualice regularmente (varias
veces al día).
(trata de ser condescendiente contigo, pero esto no es un trabajo, es básicamente
un chantaje y no hay ética en ello).
No te enfades conmigo, cada
uno tiene su propio trabajo.
Adios
Pasos a seguir
No dejarse intimar por estos correos, por si tienes alguna
duda, puedes hacer lo siguiente:
1) Verificar que tu ordenador está limpio,
ejecutando un escaneo de tu plataforma antimalware o antivirus. Siempre ten instalado una protección contra códigos maliciosos.
2) Cambia la contraseña de tu
ordenador y acceso al correo electrónico, como redes sociales periódicamente.
3) No
accedas a sitios de dudosa reputación.
4) No ingresar a sitios que te sugieran los
correos electrónicos de desconocidos. Si algún conocido te envía algún link o
archivo adjunto valídalo con él.
5) No abrir archivos adjuntos de personas que
desconoces.
6) Tener estos mismos cuidados en tu dispositivo movil si el mismo es un smartphone.
7) Mantener la plataforma actualizada, todos los fabricantes de software lanzan periódicamente actualizaciones para sus productos.
8) NO pagues de ninguna manera lo que te piden.
Si las dudas persisten, contacta a un experto en Ciberseguridad!!.
Ser precavidos!!!
Hasta la próxima.
