{"id":1486,"date":"2019-03-19T11:03:49","date_gmt":"2019-03-19T16:03:49","guid":{"rendered":"http:\/\/www.itechsas.com\/blog\/?p=1486"},"modified":"2019-04-13T10:44:56","modified_gmt":"2019-04-13T15:44:56","slug":"ciberextorsion-a-traves-del-correo","status":"publish","type":"post","link":"https:\/\/www.itechsas.com\/blog\/ciberseguridad\/ciberextorsion-a-traves-del-correo\/","title":{"rendered":"Contin\u00faan las campa\u00f1as de ciberextorsi\u00f3n a trav\u00e9s del correo"},"content":{"rendered":"\n<p>Hacia finales de noviembre del a\u00f1o pasado, en el Laboratorio de Investigaci\u00f3n de ESET se recibi\u00f3 una cantidad importante de spam relacionado a estafas que circulaban a trav\u00e9s del correo y que formaban parte de nuevas campa\u00f1as de extorsi\u00f3n; muy parecidas a <a rel=\"noreferrer noopener\" href=\"https:\/\/www.welivesecurity.com\/la-es\/2018\/07\/20\/recibes-correo-contrasena-asunto\/\" target=\"_blank\">otras que se analizaron<\/a> anteriormente.<\/p>\n\n\n\n<p>Los \u00faltimos correos que recibimos manten\u00edan algunos elementos que llamaron nuestra atenci\u00f3n, similares a los que vimos en la campa\u00f1a identificada en septiembre de 2018 en la que la <a rel=\"noreferrer noopener\" href=\"https:\/\/www.welivesecurity.com\/la-es\/2018\/09\/21\/campana-extorsion-activa-correo-simula-ser-desde-cuenta-victima\/\" target=\"_blank\">v\u00edctima recib\u00eda un correo que parec\u00eda haber sido enviado desde su propia cuenta<\/a>. En esa ocasi\u00f3n, el asunto del mensaje hac\u00eda referencia a un supuesto <em><strong>hackeo<\/strong><\/em><strong> <\/strong>de la cuenta del usuario y aconsejaba cambiar la contrase\u00f1a de forma inmediata; mientras que en el cuerpo, el correo notificaba que la cuenta hab\u00eda sido comprometida gracias a la explotaci\u00f3n de una vulnerabilidad en el router mediante un malware.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img data-opt-id=388369053  fetchpriority=\"high\" decoding=\"async\" width=\"700\" height=\"350\" src=\"https:\/\/ml4lvzevoq9y.i.optimole.com\/w:auto\/h:auto\/q:mauto\/f:best\/http:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/ciberextor.jpg\" alt=\"ciberextorsion\" class=\"wp-image-1487\" srcset=\"https:\/\/ml4lvzevoq9y.i.optimole.com\/w:700\/h:350\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/ciberextor.jpg 700w, https:\/\/ml4lvzevoq9y.i.optimole.com\/w:300\/h:150\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/ciberextor.jpg 300w\" sizes=\"(max-width: 650px) 100vw, 650px\" \/><\/figure>\n\n\n\n<p>Supuestamente y mediante estas acciones, <strong>el atacante hab\u00eda logrado obtener informaci\u00f3n sensible de la v\u00edctima, por lo que le solicitaba un pago para no hacer p\u00fablicos<\/strong> los datos que podr\u00edan \u201ccomprometer\u201d a la potencial v\u00edctima. Tal como se muestra en el siguiente ejemplo de correo:<\/p>\n\n\n\n<figure class=\"wp-block-image\"><a href=\"https:\/\/www.welivesecurity.com\/wp-content\/uploads\/2019\/02\/campa\u00f1as-extorsion-correo-1.jpg\"><img data-opt-id=147696456  fetchpriority=\"high\" decoding=\"async\" src=\"https:\/\/www.welivesecurity.com\/wp-content\/uploads\/2019\/02\/campañas-extorsion-correo-1.jpg\" alt=\"\" class=\"wp-image-122077\"\/><\/a><\/figure>\n\n\n\n<p>El hecho de que el correo parec\u00eda provenir desde la propia cuenta del usuario hac\u00eda suponer que las declaraciones del atacante podr\u00edan ser ciertas y que hab\u00eda tenido acceso a la informaci\u00f3n.<\/p>\n\n\n\n<p>Sin embargo, como ya hemos indicado en publicaciones anteriores, <strong>esto se puede lograr mediante t\u00e9cnicas de suplantaci\u00f3n en el protocolo de correo debido a la ausencia de mecanismos de autenticaci\u00f3n<\/strong> y mediante la manipulaci\u00f3n de las opciones de configuraci\u00f3n en este tipo de servicios; lo que posibilita el env\u00edo de mensajes ap\u00f3crifos que a simple vista parecieran provenir de una direcci\u00f3n o un dominio leg\u00edtimo, pero que en realidad no corresponden con el emisor.<\/p>\n\n\n\n<p>Por lo tanto, el hecho de que el correo parezca haber sido enviado desde la propia cuenta no deber\u00eda ser un indicio para creer todo lo plantea el mensaje. Seguramente, el atacante ha enviado de manera masiva este tipo de correos en espera de que un usuario incauto caiga en la trampa y realice el pago.<\/p>\n\n\n\n<p>La t\u00e9cnica de suplantaci\u00f3n es utilizada en el protocolo de correo SMTP, Por lo tanto, si no se toman las medidas de precauci\u00f3n adecuadas a la hora de configurar los servicios de correo electr\u00f3nico, cualquiera puede enviar correos falsificados, que a simple vista parecieran provenir de una direcci\u00f3n o un dominio leg\u00edtimo, pero que en realidad no corresponden con el emisor.<\/p>\n\n\n\n<p>Para analizar esta problem\u00e1tica se revisan los registros SPF (Sender Policy Framework), ya que sirven para identificar uno o varios servidores autorizados para el env\u00edo de correos de un determinado dominio; dado que el objetivo de este registro es identificar correos electr\u00f3nicos que han sido enviados desde servidores de correo no autorizados.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>\u00bfC\u00f3mo configurar un registro SPF?<\/strong><\/h3>\n\n\n\n<p>Si a\u00fan desconoces si tienes un registro SPF activado, solo tienes que acceder a la zona DNS de tu dominio y comprobar si existe una entrada de tipo TXT como el siguiente:<\/p>\n\n\n\n<p><strong>tudominio.com. IN TXT \u201cv=spf1 a mx -all\u201d<\/strong><\/p>\n\n\n\n<p>En el ejemplo superior se indica un registro de texto (IN TXT) para el dominio tudominio.com con la siguiente descripci\u00f3n SPF:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>v=<\/strong>&nbsp;define la versi\u00f3n usada de SPF.<\/li><li><strong>a<\/strong>&nbsp;autoriza a las m\u00e1quinas con la IP del registro A de tu dominio.<\/li><li><strong>mx<\/strong>&nbsp;autoriza a las m\u00e1quinas con la IP de los registros MX.<\/li><li><strong>-all<\/strong>&nbsp;desautoriza a las m\u00e1quinas que no encajen en lo autorizado expl\u00edcitamente. Puedes cambiar&nbsp;<strong>-all<\/strong>por&nbsp;<strong>~all<\/strong>. En este caso, si el correo es recibido por una m\u00e1quina no autorizada, el correo no se rechaza pero se marca como spam.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>\u00bfCu\u00e1nto puede generar una campa\u00f1a de este estilo?<\/strong><\/h3>\n\n\n\n<p>Tal como ha venido ocurriendo en los \u00faltimos meses, las <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/sextortion-scam-stating-xvideos-was-hacked-to-record-you-through-webcam\/\" target=\"_blank\" rel=\"noreferrer noopener\">campa\u00f1as de sextorsi\u00f3n contin\u00faan apareciendo<\/a> y no deja de llamar la atenci\u00f3n que sean tan efectivas. En el caso de la campa\u00f1a que detectamos en julio de 2018, la misma fue alertada en varios pa\u00edses y permiti\u00f3 a los cibercriminales detr\u00e1s de la misma <a href=\"https:\/\/www.welivesecurity.com\/la-es\/2018\/08\/23\/cibercriminales-obtuvieron-medio-millon-dolares-campana-sextorsion\/\" target=\"_blank\" rel=\"noreferrer noopener\">recaudar cerca de medio mill\u00f3n de d\u00f3lares<\/a> provenientes de v\u00edctimas de distintas partes del mundo.<\/p>\n\n\n\n<p>Esto es posible saberlo mediante el seguimiento de las direcciones de las billeteras de Bitcoin que vienen dadas por los cibercriminales dentro de los correos extorsivos que env\u00edan.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><a href=\"https:\/\/www.welivesecurity.com\/wp-content\/uploads\/2019\/02\/campa\u00f1as-extorsion-correo-2.jpg\"><img data-opt-id=617731025  data-opt-src=\"https:\/\/www.welivesecurity.com\/wp-content\/uploads\/2019\/02\/campañas-extorsion-correo-2.jpg\"  decoding=\"async\" src=\"data:image/svg+xml,%3Csvg%20viewBox%3D%220%200%20100%%20100%%22%20width%3D%22100%%22%20height%3D%22100%%22%20xmlns%3D%22http%3A%2F%2Fwww.w3.org%2F2000%2Fsvg%22%3E%3Crect%20width%3D%22100%%22%20height%3D%22100%%22%20fill%3D%22transparent%22%2F%3E%3C%2Fsvg%3E\" alt=\"\" class=\"wp-image-122078\"\/><\/a><\/figure>\n\n\n\n<p>Transacciones confirmadas por d\u00eda (noviembre-diciembre 2018)<\/p>\n\n\n\n<p>La coincidencia entre la fecha de detecci\u00f3n de la campa\u00f1a fraudulenta y las operaciones realizadas en la direcci\u00f3n de Bitcoin hace suponer que los movimientos fueron el resultado de las estafas logradas de manera exitosa. Otro dato interesante es que el d\u00eda con mayor n\u00famero de transacciones, la billetera recibi\u00f3 <strong>m\u00e1s de 1,400 d\u00f3lares en solo 24 horas<\/strong>.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Medidas de seguridad contra campa\u00f1as enga\u00f1osas<\/strong><\/h3>\n\n\n\n<p><strong>1.<\/strong> Se trata de una campa\u00f1a de <strong>Ingenier\u00eda Social <\/strong>mediante la cual se busca enga\u00f1ar a los usuarios para que realicen un pago por un ataque que nunca se llev\u00f3 a cabo o para recuperar un material que no existe y que mucho menos se encuentra en posesi\u00f3n de los atacantes.<\/p>\n\n\n\n<p><strong>2.<\/strong>&nbsp;Se recomienda <strong>no responderlos y eliminarlos<\/strong>. Los usuarios tambi\u00e9n pueden aplicar otras buenas pr\u00e1cticas en el uso del correo electr\u00f3nico, como <strong>actualizar sus contrase\u00f1as<\/strong> de manera regular, emplear contrase\u00f1as diferentes para distintos servicios de Internet y utilizar credenciales complejas y de longitud considerable; adem\u00e1s, de soluciones contra malware y spam. En caso de que incluyan un <strong>archivo adjunto, no abrirlo ni descargarlo<\/strong>, ya que se han detectado recientemente <a rel=\"noreferrer noopener\" href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/sextortion-emails-now-leading-to-ransomware-and-info-stealing-trojans\/\" target=\"_blank\">campa\u00f1as de sextorsi\u00f3n a trav\u00e9s del correo que adem\u00e1s del mensaje extorsivo inclu\u00edan un adjunto malicioso<\/a> que infectaba a la v\u00edctima con un <strong>ransomware<\/strong>.<\/p>\n\n\n\n<p><strong>3.<\/strong> En cuanto a los servicios de correo electr\u00f3nico dentro de las organizaciones, es importante evitar las configuraciones por defecto; especialmente aquellas que permiten la retransmisi\u00f3n de correos (en caso de no afectar las operaciones), ya que suelen ser utilizados por <em>spammers<\/em> o incluso c\u00f3digos maliciosos.<\/p>\n\n\n\n<p><strong>4. <\/strong>Es recomendable implementar opciones de doble autenticaci\u00f3n para los usuarios, ya que reduce la posibilidad de accesos no autorizados a las cuentas de los usuarios, as\u00ed como utilizar soluciones antimalware y antispam en los servidores de correo electr\u00f3nico. Aunado a lo anterior, la concientizaci\u00f3n de los usuarios tambi\u00e9n es necesaria para evitar que caigan en este tipo de abusos que han estado presentes en los \u00faltimos meses.<\/p>\n\n\n\n<pre class=\"wp-block-preformatted\"><strong>Fuente: <a href=\"https:\/\/www.welivesecurity.com\/la-es\/author\/mendozam\/\">Miguel \u00c1ngel Mendoza<\/a> - Eset - 11 Feb 2019<\/strong><\/pre>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Control&nbsp;con&nbsp;Eset&nbsp;Endpoint&nbsp;versi\u00f3n&nbsp;7<\/strong><\/h2>\n\n\n\n<p>Con la ultima <strong>versi\u00f3n 7 del antivirus Eset&nbsp;Endpoint<\/strong> se puede detectar este tipo de amenazas, usando la <strong>consola de administraci\u00f3n central<\/strong> por medio de la opci\u00f3n <strong>M\u00e1s &gt;<\/strong><\/p>\n\n\n\n<figure class=\"wp-block-image\"><img data-opt-id=420348659  data-opt-src=\"https:\/\/ml4lvzevoq9y.i.optimole.com\/w:auto\/h:auto\/q:mauto\/f:best\/http:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion.png\"  decoding=\"async\" width=\"759\" height=\"539\" src=\"data:image/svg+xml,%3Csvg%20viewBox%3D%220%200%20100%%20100%%22%20width%3D%22100%%22%20height%3D%22100%%22%20xmlns%3D%22http%3A%2F%2Fwww.w3.org%2F2000%2Fsvg%22%3E%3Crect%20width%3D%22100%%22%20height%3D%22100%%22%20fill%3D%22transparent%22%2F%3E%3C%2Fsvg%3E\" alt=\"\" class=\"wp-image-1494\" old-srcset=\"https:\/\/ml4lvzevoq9y.i.optimole.com\/w:759\/h:539\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion.png 759w, https:\/\/ml4lvzevoq9y.i.optimole.com\/w:300\/h:213\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion.png 300w\" \/><\/figure>\n\n\n\n<p>En el submenu que aparece se da clic en <strong>Archivos enviados<\/strong> y mostrara los correos que est\u00e1n siendo reportados como maliciosos y que se deben revisar. Para este caso, podemos darnos cuenta que el correo enviado es una suplantaci\u00f3n por que el origen y destino es el mismo correo.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img data-opt-id=831288785  data-opt-src=\"https:\/\/ml4lvzevoq9y.i.optimole.com\/w:1024\/h:410\/q:mauto\/f:best\/http:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion2.jpg\"  decoding=\"async\" width=\"1024\" height=\"410\" src=\"data:image/svg+xml,%3Csvg%20viewBox%3D%220%200%201024%20410%22%20width%3D%221024%22%20height%3D%22410%22%20xmlns%3D%22http%3A%2F%2Fwww.w3.org%2F2000%2Fsvg%22%3E%3Crect%20width%3D%221024%22%20height%3D%22410%22%20fill%3D%22transparent%22%2F%3E%3C%2Fsvg%3E\" alt=\"\" class=\"wp-image-1495\" old-srcset=\"https:\/\/ml4lvzevoq9y.i.optimole.com\/w:1024\/h:410\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion2.jpg 1024w, https:\/\/ml4lvzevoq9y.i.optimole.com\/w:300\/h:120\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion2.jpg 300w, https:\/\/ml4lvzevoq9y.i.optimole.com\/w:768\/h:307\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion2.jpg 768w, https:\/\/ml4lvzevoq9y.i.optimole.com\/w:830\/h:332\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion2.jpg 830w, https:\/\/ml4lvzevoq9y.i.optimole.com\/w:1077\/h:431\/q:mauto\/f:best\/https:\/\/www.itechsas.com\/blog\/wp-content\/uploads\/2019\/03\/Eset-ciberextorsion2.jpg 1077w\" \/><\/figure>\n\n\n\n<p>Estas acciones deben estar incluidas en un proceso de gesti\u00f3n y control de incidentes de seguridad que debe tener en cuenta el \u00e1rea de tecnolog\u00eda o departamento encargado sino se cuenta con el personal de seguridad de la informaci\u00f3n requerido. <\/p>\n\n\n\n<p>Conozca nuestro <strong>servicio de seguridad avanzada<\/strong> que le ayudara a mejorar los niveles de seguridad de su empresa, clic en el bot\u00f3n:<\/p>\n\n\n\n<div class=\"wp-block-button aligncenter\"><a class=\"wp-block-button__link has-background has-vivid-cyan-blue-background-color\" href=\"https:\/\/forms.gle\/kLvuZaCrMfg4oWjF9\">Servicio de seguridad avanzada<\/a><\/div>\n","protected":false},"excerpt":{"rendered":"<p>Hacia finales de noviembre del a\u00f1o pasado, en el Laboratorio de Investigaci\u00f3n de ESET se recibi\u00f3 una cantidad importante de spam relacionado a estafas que circulaban a trav\u00e9s del correo y que formaban parte de nuevas campa\u00f1as de extorsi\u00f3n; muy parecidas a otras que se analizaron anteriormente. Los \u00faltimos correos que recibimos manten\u00edan algunos elementos&hellip;<\/p>\n","protected":false},"author":1,"featured_media":1487,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[23],"tags":[53,34,61,62,33],"class_list":["post-1486","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","tag-ciberataque","tag-ciberseguridad","tag-extorsion","tag-hackeo","tag-seguridad-informatica"],"_links":{"self":[{"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/posts\/1486","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/comments?post=1486"}],"version-history":[{"count":0,"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/posts\/1486\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/media\/1487"}],"wp:attachment":[{"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/media?parent=1486"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/categories?post=1486"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itechsas.com\/blog\/wp-json\/wp\/v2\/tags?post=1486"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}