Shell Security - Seguridad informática Noticias diarias de seguridad informática, foros, vulnerabilidades, antivirus, documentación, auditorías, consultorías …

Ha aparecido hoy en Barrapunto una historia que muestra un caso real de cómo un atacante puede inducir a una víctima a caer en un caso de phising, con el agravante de actuación "mercenaria" por parte del atacante. Os dejo la historia:

« Hace unos días recibí un mensaje en el que me comentaban que si quería podía tener la posibilidad de obtener cualquier contraseña de Hotmail o Yahoo previo pago de 15 dólares americanos. Esta cantidad sólo se abonaba si se obtenía la contraseña solicitada. Como tenía curiosidad por saber cómo lo hacían, decidí investigar por mi cuenta. Esta es la historia de lo que había detrás de ese mensaje. Decidí abrir una cuenta en Yahoo! y seguidamente escribí al individuo un mensaje en el que le pedía por favor que me proporcionara la contraseña de la cuenta de mi novia , es decir la contraseña de la cuenta que yo acababa de abrir. Para evitar ataques sencillos puse a esa cuenta una contraseña difícil de averiguar, es decir, formada por letras mayúsculas, minúsculas, números y signos de puntuación.

Después de hacer un seguimiento de la mencionada cuenta recibo un email en ella en que se me dice que me han enviado una postal electrónica y que debo pulsar en un enlace para ver el contenido de la misma. Concretamente lo que recibí fue esto:

Date: 4 Apr 2005 01:57:23 -0000
To: xxxxxxxx@yahoo.es
Subject: ¡Has recibido una tarjeta en Gusanito.com!
From: "Gusanito.com"

¡Hola! Hay una tarjeta disponible en Gusanito.com de parte de Gusanito.com. Para verla, hacer click en el siguiente enlace:

http://gusanito.com/g/gusanito/retrieveCard.jsp?sCardCode=3AWEF458S45S1F4A8S46D5

Te recordamos que si eres Gusuario Premium tu tarjeta estará disponible en todo momento durante la vigencia de tu membresía; si no lo eres, estará disponible dos semanas a partir de la fecha en que la envíes. […]

————

Obviamente este mensaje sólo podía provenir de la persona que trataba de conseguir la contraseña. Aprovecho para aclarar que www.gusanito.com es un servicio legítimo de envío de tarjetas postales muy conocido en Latinoamérica por lo que no me extrañaría que alguien que lo conozca caiga de lleno en esta trampa.

Pero la sorpresa viene al hacer click en el enlace para recoger la tarjeta. Obviamente no apunta a www.gusanito.com sino a la página:

http: //xecsx.com/004d5e345634400d234/0212456gsder6 2sd2.php?212SSa11q2212sasa34Hgfgg=ewed55645ff45343 1223d33&a3dwe43ws099120=xxxxxxxx@yahoo.es&ws120a30 99dwe43=xxxxxxxx

(nótese que la URL está modificada pues he omitido la identificación de la cuenta que usé para desenmascarar el ataque)

y que curiosamente es una copia casi perfecta de la página de Yahoo en la que te dicen eso de:

¿Por qué me piden mi contraseña?
Para proteger la seguridad de tu cuenta, de vez en cuando pediremos que escribas tu contraseña. […] Únicamente puedes entrar en una cuenta por sesión. Si no eres "xxxxxxxx", ingresa con tu propia ID.

Claro, como esta solicitud de contraseña la suele hacer Yahoo en ciertas ocasiones, es normal que la persona caiga en la trampa e introduzca su contraseña, que obviamente será enviada a la persona que después pasará a cobrarme los 15 dólares por el servicio prestado.

Es de notar que este ataque está bien elaborado y, dadas sus características, no me parecería extraño que tuviera una efectividad cercana al 100% si no fuera por algunos detalles que considero que pasarían desapercibidos para el típico usuario de ordenadores.

Esto ha sido ya comunicado al departamento de Delitos Telemáticos de la Policía y a los servicios de correo electrónico gratuitos mencionados para que tomen cartas en el asunto.

Reciban un cordial saludo y tengan cuidado ahí fuera… »

La historia y comentarios al respecto se encuentran en: http://barrapunto.com/articles/05/04/06/0852239.shtml