Malware

El correo electrónico se mantiene como una de las herramientas más utilizadas en el entorno empresarial. A eso se debe que sea uno de los medios más explotados por los atacantes para tratar de infectar a los equipos.

Aunque el sector financiero es el principal atacado, todas las industrias se han visto afectadas. Incluso la Casa Blanca, el Pentágono o empresas tecnológicas de servicios y productos de seguridad han sido comprometidos por este medio.

Algunas de las técnicas y recursos más habituales de los atacantes en el envío de correo electrónico malicioso:

Ficheros con macros. Los atacantes logran ejecutar código malicioso en el equipo de las víctimas al incluir macros en un documento de Office. Esta técnica se utilizó para comprometer equipos de la red de distribución eléctrica en la zona oeste de Ucrania, a través de un documento en Excel remitido por mail a uno de los trabajadores de la compañía.

Aunque las versiones recientes de Office impiden por defecto la ejecución de macros, los atacantes mediante el uso de ingeniería social logran que los usuarios las habiliten e incluyen las instrucciones necesarias para ello.

Ficheros ejecutables con íconos. Para hacer creer al usuario que el fichero adjunto es legítimo, el atacante crea un archivo ejecutable pero le agrega un ícono de algún otro software de uso común, por ejemplo, Office o Adobe Acrobat. Si el usuario tiene activa la opción “Ocultar las extensiones de archivo para tipos de archivos conocidos” no verá la extensión .exe y pensará que se trata de un archivo PDF legítimo.

Este truco es utilizado en el envío de correo electrónico que informa la generación de una nueva factura con un fichero adjunto comprimido, cuyo contenido será un archivo ejecutable con el ícono de Adobe.

Durante 2015, empresas en Dinamarca relacionadas a la arquitectura fueron víctimas de emails que incluían una URL que apuntaba a un recurso en Dropbox. Cuando el usuario hacía clic en el enlace, descargaba un ejecutable con ícono de AutoCad. Al utilizar un servicio legítimo como Dropbox los atacantes logran evadir algunas soluciones de seguridad que validan las URL de los correos con ciertas listas de reputación.

Uso de RLO. Debido a que una de las recomendaciones de seguridad es observar la extensión de un archivo antes de abrir cualquier adjunto recibido por correo, los atacantes suelen hacer uso de la técnica “Right to Left Override”. Se llama así en referencia al carácter Unicode RLO, diseñado para soportar lenguajes escritos de derecha a izquierda como el árabe. Ahora es aprovechado para invertir el orden de visualización de los últimos caracteres en el nombre de un archivo adjunto con su extensión. Así por ejemplo el fichero con el nombre factura_pdf.exe se convertirá en factura_|exe.pdf

Un usuario puede creer que se trata de un archivo legítimo revisando únicamente la extensión .pdf. Pero además, si se asigna el ícono de Adobe Acrobat al ejecutable el engaño será aún más creíble.

Uso de espacios para ocultar la extensión. Al utilizar espacios en blanco justo antes de la verdadera extensión en el nombre de un archivo, es probable que el usuario no perciba los tres puntos que indican que la longitud del nombre de archivo es mayor a la que se visualiza en el explorador de archivos.

Usurpación del remitente. Los atacantes tratarán de obtener la mayor información posible acerca de sus víctimas, como la lista de contactos más habituales de un empleado o las alianzas que tiene la organización. En ocasiones parte de la información se encuentra accesible directamente desde el sitio web de la empresa, las redes sociales, foros, plataformas de colaboración, etc. Con ello, un atacante intentará usurpar la identidad de un contacto habitual, alguna empresa en colaboración o un proveedor, para enviar un archivo malicioso y conseguir el acceso a uno de los equipos.

Para usurpar la identidad del remitente pueden hacer uso de dominios muy similares al original. Por ejemplo, para facturacioncliente.com podrían intentar utilizar facturacionclientes.com o facturacion-cliente.com entre muchos otros. Incluso podrían simular el aspecto de una factura original para lograr hacer creer al receptor que se trata de un mensaje real.

En algunos casos, los atacantes lograrán suplantar la cuenta y dominio reales del remitente si éste carece de las medidas de seguridad pertinentes. Se puede considerar  este método como el más efectivo ya que incrementa las posibilidades de que la víctima abra un correo de alguien que conoce.

Enlaces maliciosos. Es una de las técnicas más utilizadas para conseguir la ejecución de código en un equipo o la obtención de información de la víctima.

Si el objetivo es obtener los datos bancarios de los usuarios, el correo electrónico utilizado intentará usurpar la identidad de determinado banco. El enlace que se incluya en el mensaje podría ser un enlace real del banco pero que en realidad, cuando el usuario haga clic en él será redirigido a una página maliciosa con aspecto similar o igual a la del banco en cuestión. La página solicitará las credenciales o datos de usuario bajo alguna justificación para enviarlos a los atacantes.

Cuando el objetivo es infectar el equipo del usuario, es común que se utilice un enlace que apunte a un fichero alojado en algún servidor y que al dar clic en el mismo, inicie su descarga. En algunos casos se hace uso de servicios legítimos como OneDrive o Dropbox para evadir las herramientas de seguridad que verifican los enlaces.

Una de las tecnologías más sofisticadas para infectar a un usuario, sin necesidad de descargar o ejecutar algo, son los Web Exploit Kit. Los cuales permiten identificar vulnerabilidades en el navegador o en sus plugins para ejecutar el código malicioso. Un usuario recibe un mail en el que mediante ingeniería social se le anima a dar clic en una URL, se le redirige a un servidor TDS (Traffic Direction System) para valorar si la víctima es de interés. Si es así, se le redirigirá a un Server Exploit Kit que analizará la versión del navegador y sus plugins. Si alguno de ellos es vulnerable, el Server lanzará el Exploit para ejecutar el código y descargar el malware. Cabe destacar que el proceso se realiza de forma transparente al usuario. Algunos Exploits Kits tienen la capacidad de ejecutar el código directamente en memoria sin tener que escribir directamente al disco. De esta manera evitan las herramientas de seguridad que solo intervienen cuando existe la escritura en disco.

Qué hacer al respecto

Después de analizar las técnicas más utilizadas por los atacantes, es necesario tener en cuenta las siguientes recomendaciones con la finalidad de evitar ser víctima de este tipo de ataques:

Los correos con un patrón fuera de lo común deben despertar la sospecha del usuario. Por ejemplo, al recibir un email de una compañía de confianza que realice una solicitud poco habitual y que adjunta algún archivo o enlace. Se recomienda que antes de abrir cualquier adjunto se contacte con el remitente mediante una vía alterna para corroborar si el mensaje recibido es legítimo.

Comprobación de los archivos, antes de abrir cualquier archivo desde el correo, verifique la extensión y el nombre completo del mismo. Recuerde que los atacantes incluyen íconos de las aplicaciones  más utilizadas y ocultan las verdaderas extensiones de los archivos. Los archivos ejecutables no solo tienen la extensión .exe, también pueden ser .com, .cmd, .cpl, .paf, .js, .jse, .msi, .msp, .mst, .vbe, .vbs, .pscl entre muchos otros.

El usuario no debe habilitar el uso de las macros, independientemente de lo que indique el documento recibido. En realidad es poco habitual su uso y en caso de ser legítimo el documento, el bloqueo de las mismas no debe imposibilitar ver el contenido.

No confíe únicamente en el nombre del remitente, se debe comprobar que el dominio del correo recibido es de confianza. Incluso, se pueden obtener los datos de creación y actualización del dominio mediante los servicios en línea como whois. También se puede utilizar www.virustotal.com para analizar las URL mediante ciertos servicios de seguridad. Otra alternativa es realizar una búsqueda del dominio en cuestión, acompañado por los términos phising o malware, con el objetivo de obtener referencias que puedan identificar el dominio como fraudulento.

Después de verificar el tipo de extensión de un archivo, los usuarios no deben ejecutarlo si ésta es extraña o desconocida. También se recomienda el uso de aplicaciones de lista blanca. El objetivo de estas listas es la protección contra programas maliciosos permitiendo únicamente la ejecución de los explícitamente autorizados.

Actualizar el sistema operativo y las aplicaciones, para reducir significativamente la exposición a ataques mediante los Web Exploit Kit, que tienen la capacidad de comprometer un equipo con solo visitar un enlace y sin necesidad de descargar o ejecutar un fichero, al aprovecharse de ciertas vulnerabilidades.

Seguridad de las comunicaciones vía email

El proceso de enviar un correo electrónico comprende numerosos pasos en los que se involucran diversas tecnologías y servicios. De manera general, se recomienda no utilizar SMTP sin ninguna extensión de seguridad, utilizar IMAP o POP sobre SSL/TLS para la descarga del correo y si el contenido es sensible se recomienda el cifrado de datos.

Además recuerde que:

• Se deben utilizar contraseñas robustas para el acceso al correo electrónico, así como renovarlas periódicamente. Si es posible, utilice doble autenticación.
• El usuario no debe dar clic en ningún enlace que solicite datos personales ni bancarios. Los bancos nunca solicitan credenciales o datos personales del cliente a través del correo electrónico.
• Se debe evitar dar clic directamente en cualquier enlace desde el propio correo. Si el enlace es desconocido se recomienda buscar información en motores de búsqueda antes de acceder.
• Cuando se accede al correo electrónico mediante la versión web, se recomienda no almacenar las credenciales en el navegador, ya que pueden ser recuperadas por ciertos tipos de malware. Antes de cerrar el navegador, asegúrese de cerrar la sesión de la cuenta de correo.
• Si al enviar un mensaje a varias personas, no desea que los destinatarios puedan ver el resto de las direcciones, utilice la función con copia oculta (CCO).
• En caso de recibir un correo sospechoso se debe informar inmediatamente al responsable de seguridad de la organización.