El correo electrónico es la herramienta de comunicación por excelencia en el mundo empresarial y también en el personal. Pero esta ubicuidad lo convierte en el vector de ataque número uno para los ciberdelincuentes. A pesar de los sistemas de seguridad avanzados, el eslabón más débil de la cadena sigue siendo la persona que recibe el mensaje. Y es que un simple correo de phishing con malware puede convertirse en tu pesadilla.
Semana tras semana, vemos campañas de malware que empiezan con un simple correo. El artículo de The Hacker News que estamos desglosando menciona varios ejemplos de phishing con malware: Ousaban, AsyncRAT, TONResolver. Cada uno usa técnicas diferentes, pero todos comparten un punto de partida común. Por eso, aprender cómo detectar un correo de phishing con malware oculto sigue siendo la defensa más efectiva que puedes tener.
Anatomía de un Ataque de phishing con malware: La Cadena de Infección
Para entender cómo protegernos, primero veamos cómo funciona un ataque típico. La mayoría de los ataques exitosos no son un solo paso, sino una cadena de eventos que, si se rompe en cualquier punto, detiene el ataque.
El Correo de Señuelo (Phishing).
El atacante envía un correo electrónico que parece legítimo. Puede hacerse pasar por un banco, un servicio de mensajería, un colega de trabajo o, como en los ejemplos del artículo, una empresa como Booking.com. El mensaje suele generar urgencia («Su pedido está pendiente», «Debe verificar su cuenta», «Alerta de seguridad») para que la víctima actúe sin pensar.
El Señuelo (El Archivo o Enlace Malicioso).
El correo contiene un archivo adjunto o un enlace.
Archivos adjuntos
Pueden ser un documento PDF con un enlace oculto (Ousaban), una hoja de cálculo de Excel con macros (AsyncRAT), o un archivo comprimido (ZIP) que contiene un acceso directo (LNK) (TONResolver).
Enlaces
Llevan a sitios web que descargan automáticamente el primer archivo malicioso, a menudo hospedado en servicios de nube legítimos como Dropbox para pasar los filtros de seguridad.
La Primera Etapa de los ataques de phishing con malware (El «Downloader»).
Al abrir el archivo o hacer clic en el enlace, la víctima descarga e inicia sin saberlo un pequeño programa o script (a menudo un archivo de JavaScript, un .bat o un script de PowerShell). Este programa no es el malware final; su única misión es «bajar» o descargar el verdadero malware desde un servidor del atacante.
El Payload Final.
Una vez descargado, el software malicioso completo (el «payload») se instala en el ordenador de la víctima. En los casos del artículo, estos eran:
Ousaban.
Un troyano bancario diseñado para robar credenciales de bancos en España y Portugal.
AsyncRAT / Remcos RAT.
Un RAT (Remote Access Trojan) que da a los atacantes control total sobre el ordenador.
TONResolver.
Un malware que se comunica con los servidores de los atacantes mediante la cadena de bloques de TON para recibir órdenes.
El Resultado: ¿Qué Puede Pasar Después de un ataque de phishing con malware?
Una vez que el payload final está instalado, el atacante puede hacer prácticamente lo que quiera:
- Robo de Credenciales. Como en el caso de Ousaban, roban tus claves de la banca online.
- Espionaje y Robo de Datos. Los RAT pueden capturar pantallas, grabar pulsaciones de teclado (keyloggers), y robar cualquier archivo, incluyendo bases de datos de clientes o propiedad intelectual.
- Extorsión. Pueden implantar un ransomware y pedir un rescate por tus archivos.
- Punto de Apoyo. Usar tu ordenador como base para atacar a otras empresas de tu red o para enviar más correos de phishing.
Guía de supervivencia: Detecta el Phishing con malware antes de que sea tarde
La buena noticia es que, aunque las técnicas son sofisticadas, la mayoría de los correos de phishing tienen señales de alarma que podemos aprender a identificar. No te fíes, verifica:
Revisa la dirección de correo electrónico del remitente (no solo el nombre).
Es fácil poner «Banco Santander» como nombre, pero la dirección real podría ser [email protected]. Pasa el ratón por encima del nombre del remitente para ver la dirección completa. Si no coincide con el dominio oficial de la empresa, es sospechoso.
Desconfía de la urgencia y las amenazas.
Frases como «Su cuenta será bloqueada en 24 horas», «Acción judicial inminente», «Actúe ahora» son tácticas de presión. Los bancos y empresas legítimas no te envían correos con amenazas.
Analiza la gramática y la ortografía.
Muchos correos de phishing provienen de otros países y son traducidos de forma automática, lo que produce errores gramaticales o frases poco naturales. Un correo profesional de una gran empresa no tendrá faltas de ortografía.
No hagas clic en enlaces (¡pásalos por encima!).
Es la técnica más importante. Sin hacer clic, coloca el cursor del ratón sobre el enlace del correo. En la parte inferior de tu navegador o cliente de correo aparecerá la URL real a la que te llevaría. Si esa URL no coincide con la dirección oficial de la empresa (por ejemplo, http://banc0-santander.xyz en lugar de https://www.santander.es), no hagas clic.
Activa la Verificación en Dos Pasos (2FA).
Aunque caigas en un ataque de phishing y te roben la contraseña, con la 2FA el atacante no podrá acceder a tu cuenta sin el código temporal que se envía a tu teléfono. Es la capa de seguridad más importante que puedes añadir.
Si tienes dudas acerca de si se trata de un caso de phishing con malware, no actúes por el correo.
Ve directamente a la página web oficial de la empresa (escribiendo la URL en tu navegador) o llama por teléfono a un número de atención al cliente conocido. No uses los datos de contacto que vienen en el correo sospechoso.
Conclusión sobre el phishing con malware
El phishing con malware no es un problema técnico; es un problema humano. Los ciberdelincuentes no hackean sistemas, hackean personas. Desconfiar, verificar y seguir los pasos de esta guía es la mejor manera de no ser la próxima víctima que, con un simple clic, entregue el control de su ordenador a un atacante. La tecnología avanza, pero la precaución y el sentido común siguen siendo el mejor antivirus.
Quizás te interese esta otra nota.