Durante el primer trimestre de 2013 la cantidad de spam en el tráfico de correo ha sufrido grandes fluctuaciones y alcanzado una media del 66.55 por ciento. Esto es un 0.53 por ciento más que el trimestre anterior, de acuerdo con el informe de spam del Q1 de 2013 de Kaspersky Lab.
Después de la muerte del líder venezolano, aparecieron en el spam mensajes con un título sensacionalista: ¿La CIA “eliminó” a Hugo Chávez? Los autores del mensaje insinuaban que el gobierno de EE.UU. y la CIA estaban involucrados en la muerte de Hugo Chávez y le proponían al usuario seguir el enlace para ver un video sobre el tema.
Los incautos usuarios que hacían clic en el enlace acababan en un sitio comprometido desde donde se les redirigía a un recurso malicioso. Si el sistema operativo de la víctima potencial cumplía ciertos parámetros, se usaba un exploit (detectado de forma proactiva por Kaspersky Anti-Virus como HEUR:Exploit.Java.CVE-2012-0507.gen) para instalar un programa malicioso en el equipo del usuario.
Pero no solo Hugo Chávez llamó la atención de los spammers este trimestre. En otro envío masivo, con un texto sensacionalista y un enlace malicioso los delincuentes usaban el nombre del nuevo Papa para atraer la atención de los destinatarios. El envío masivo de spam fingía ser notificaciones de la BBC y la CNN y le ofrecía al destinatario leer noticias sobre el nuevo papa. Por ejemplo, uno de los titulares ofrecía comentar el posible juicio contra el papa por violencia sexual.
El esquema de infección del equipo mediante este envío masivo malicioso repetía el esquema usado en el envío masivo que contenía el enlace malicioso a la “noticia” de la muerte de Hugo Chávez: después de pulsar el enlace, se remitía al usuario a un sitio hackeado desde donde se descargaba a su equipo un exploit (por lo general del conjunto de exploits Blackhole) que infectaba el sistema con un programa malicioso.
El reporte señala que los spammers, sobre todo aquellos que quieren infectar el equipo del usuario con programas maliciosos, siguen usando las notificaciones falsificadas de diferentes servicios conocidos. Este trimestre, a las conocidas redes sociales como Facebook, Twitter, se ha sumado el servicio Foursquare. Se ha usado una regla simple: cuanto mayor sea la popularidad del servicio, mayor será la probabilidad de que los spammers envíen notificaciones falsificadas en su nombre.
Con mayor frecuencia en estos mensajes los ciberdelincuentes enviaban enlaces a conjuntos de exploits capaces de encontrar vulnerabilidades en el equipo del usuario y usarlas para instalar diferentes programas maliciosos.
Kaspersky también detecto en el primer trimestre de 2013 un envío masivo típico del spam que publicita medicamentos para hombres donde se usaban los siguientes trucos:
- El encabezado “Borrar cuenta de Instagram” es un típico ejemplo de ingeniería social. Para captar la atención del usuario se le dice que se borrará su cuenta en un servicio popular. Si el usuario tiene una cuenta en Instagram, lo más probable es que abra el mensaje en vez de borrarlo de inmediato.
- La dirección real a la que lleva el enlace malicioso está camuflada mediante dos métodos legales. Al principio los spammers usaron el servicio de enlaces cortos de Yahoo!, y después procesaron el enlace obtenido en el traductor online Google Translate. Este servicio puede traducir las páginas web de los enlaces proporcionados por el usuario y generar un enlace propio para la traducción. La combinación de estos métodos hace que cada enlace del envío sea único y además, el uso de dos nombres de dominio conocidos contribuye a que el enlace le parezca legal al destinatario del spam.
Los spammers usan con frecuencia los servicios de enlaces cortos. En primer lugar, de esta manera tratan de engañar a los filtros antispam, haciendo que en cada mensaje haya un enlace único. En segundo, el uso de servicios de enlaces cortos no les cuesta nada a los delincuentes, a diferencia de la compra de dominios o el hackeo de sitios legítimos. Por su parte, los grandes servicios de enlaces cortos tratan de hacer un seguimiento del contenido de los sitios a los cuales se remite a los usuarios y son rápidos en eliminar los enlaces maliciosos.
Regiones fuentes del spam
En cuanto a los orígenes de estos correos, Asia se mantuvo como la fuente líder con 55.7 por ciento, seguida por Norte América (17.6%), Europa del Este (13.6%) y América Latina (4.2%).
CIO México
