Documentos fiscales falsos atacan a usuarios de la India
En India se ha detectado una nueva oleada de ataques de phishing: se envían a los usuarios avisos falsos de pago de impuestos que esconden un peligroso malware. Así lo han comunicado investigadores de CYFIRMA, empresa especializada en ciberseguridad.
El método es sencillo como la lluvia de primavera: los delincuentes han creado un sitio web que copia al milímetro el portal oficial del departamento de impuestos indio. Allí recibe a la víctima un convincente «requerimiento fiscal», con referencias a leyes, cálculos, multas y un tono amenazador: actúe rápido o todo estará perdido.
A los ciudadanos confiados les piden que descarguen un archivo ZIP, supuestamente con los detalles del cálculo. El archivo parece documentación oficial, pero en realidad esconde una imagen de disco. Al extraerla, el usuario obtiene un programa descargador que ejecuta una peligrosa biblioteca DLL. Esta se hace pasar por un servicio normal del sistema Windows, pero en lugar de ayudar, trae problemas.
Según los especialistas, el virus emplea métodos sofisticados de ocultación —el llamado mecanismo de reflexión— para esquivar los antivirus automáticos y dificultar su análisis. Para mayor seguridad, ambos archivos están ocultos con una conocida utilidad de protección de código, lo que complica el trabajo de los equipos de seguridad informática.
Cuando se activa, el malware se convierte en un troyano de acceso remoto, es decir, crea un «portal» al ordenador para los ciberdelincuentes: pueden observar, recopilar datos, detectar los antivirus instalados, descargar software adicional y enviar toda la información a un servidor de Hong Kong mediante un canal cifrado. Por supuesto, todo queda oculto tras un envoltorio de lo más familiar.
CYFIRMA señala que el principal objetivo del ataque es el beneficio económico de los delincuentes. El funcionamiento del troyano recuerda al de la tristemente célebre familia XWorm y puede utilizarse no solo para extraer datos, sino también como parte de la infraestructura de ataques posteriores, por ejemplo, para propagar ransomware según la víctima elegida.
Como suele ocurrir, todo esto sucede durante la campaña fiscal, cuando los ciudadanos están especialmente nerviosos y pendientes de recibir avisos, lo que facilita el trabajo de los delincuentes. Los especialistas de CYFIRMA subrayan que esquemas similares ya se han relacionado en varias ocasiones con virus de cifrado. Eso significa que una infección de este tipo es solo la punta del iceberg.
Los expertos aconsejan mantener actualizado el antivirus y comprobar cualquier aviso fiscal únicamente a través de los canales oficiales del Estado. No abran archivos sospechosos de archivos comprimidos ni confíen en mensajes que no lleguen por canales conocidos. En las empresas conviene prohibir la ejecución de archivos desconocidos, sobre todo a través de imágenes de disco: ahí se basa todo el engaño.
PEREC.RU
En India gana terreno un nuevo ataque que suplanta avisos oficiales de la agencia tributaria y ofrece a las víctimas archivos ZIP maliciosos. El esquema es el de siempre: los estafadores crean una web idéntica al portal oficial de Hacienda, envían mensajes alarmantes con multas y referencias legales, y urgen a descargar un archivo que supuestamente contiene documentación.
Dentro no hay respuestas de Hacienda, sino un programa malicioso. El archivo oculta un descargador y una DLL que se hace pasar por un servicio del sistema Windows. Este «disfraz» sirve para que los antivirus no detecten el virus y para que no sea fácil analizarlo. El programa da acceso a los delincuentes: averiguan qué hay instalado en el ordenador, espían al usuario, interceptan datos y pueden descargar más malware desde un servidor de mando en Hong Kong; la conexión está cifrada.
El objetivo final siempre es el dinero, y el trabajo sucio sigue el manual de los célebres XWorm y del ransomware: una misma infraestructura puede servir tanto a espías como a extorsionadores. En plena campaña de la renta, la época más estresante para los ciudadanos, los estafadores cuentan con que bajemos la guardia.
Los especialistas de CYFIRMA aconsejan no fiarse de los archivos adjuntos de los correos, utilizar solo portales oficiales, mantener el antivirus actualizado y, en las empresas, prohibir la ejecución de archivos no verificados de archivos comprimidos e ISO. Todo lo demás es una invitación a una trampa cibernética cuya salida es de pago.
