Noticias de seguridad

Detectada nueva campaña de correos fraudulentos que propagan el malware Emotet

Fecha de publicación: 
21/01/2021
Importancia:
4 - Alta
Recursos afectados: 
Cualquier empleado o autónomo que haya recibido un correo electrónico con un archivo adjunto o enlace sospechoso.
Descripción:
En los últimos días se ha detectado desde el servicio de respuesta a incidentes de INCIBE-CERT un repunte del malware Emotet. En la campaña detectada, este tipo de troyano se propaga a través del envío de correos fraudulentos con el objetivo de que el receptor del mensaje descargue e instale un adjunto malicioso infectando el equipo con dicho malware. Por el momento hay constancia de que los adjuntos enviados son archivos con extensión .doc con macros maliciosas, pero podría también estarse enviando a través de enlaces contenidos en el cuerpo del correo mediante los que se descargan ficheros que provocarían la infección.
Solución:
Es importante que ante la mínima duda analices detenidamente el correo, tal y como explicamos en el artículo: Para evitar infecciones relacionadas con archivos de Office, es recomendable tener especial cuidado con los archivos descargados y nunca habilitar el modo de edición a no ser que se esté seguro de que es un archivo legítimo. Tampoco se deben nunca habilitar las macros de un documento Office que no se conozca su origen. Las siguientes imágenes muestran los mensajes de alerta de Office avisando sobre documentos con orígenes desconocidos y que contienen macros, respectivamente. Las macros deben estar desactivadas por defecto, y únicamente deben activarse con conocimiento del usuario. Para ello, sigue las siguientes opciones:
  • Archivo > Opciones > Centro de confianza > Configuración del Centro de confianza... > Deshabilitar las macros con notificación.
Si has descargado y ejecutado el archivo, es recomendable que desconectes de la red interna de la empresa el dispositivo infectado y realices un escaneo de todo el equipo con el antivirus siguiendo las instrucciones marcadas por el mismo para eliminar el malware. Además, es recomendable que sigas estos consejos en caso de haber ejecutado el archivo Office:
  • Mantener cualquier equipo identificado como afectado en una red aislada o desconectado de la red, para prevenir compromisos adicionales hasta asegurar que se ha eliminado la amenaza de los sistemas.
  • Analizar todos los dispositivos de la organización, ya que puede que el malware haya conseguido infectar a más dispositivos.
  • Cambiar las contraseñas tanto de los equipos como de los servicios a los que se podía acceder desde el dispositivo infectado.
  • Revisar los programas instalados, prestando especial atención a aquellos de reciente instalación.
  • Revisar los usuarios existentes en busca de los que se hayan creado recientemente, con especial cuidado a los que pertenecen al grupo administrador.
  • Actualizar todo el software y sistema operativo a la última versión disponible.
  • Nunca utilizar usuarios con permisos de administrador para realizar tareas que no tengan que ver con la administración de los dispositivos.
  • Utilizar una firma electrónica en el correo para que tus contactos puedan identificarte inequívocamente.
Para evitar ser víctima de este tipo de engaños, te recomendamos seguir estos consejos:
  • No abras correos de usuarios desconocidos o que no hayas solicitado: elimínalos directamente.
  • No contestes en ningún caso a estos correos.
  • Revisa los enlaces antes de hacer clic, aunque sean de contactos conocidos.
  • Desconfía de los enlaces acortados.
  • Desconfía de los ficheros adjuntos, aunque sean de contactos conocidos.
  • Ten siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprueba que está activo.
  • Asegúrate de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y no tienen permisos de administrador.
Además, es importante que realices periódicamente copias de seguridad. Guárdalas en una ubicación diferente y verifica que se realizan correctamente y que sabes recuperarlas. De esta forma, en el caso de vernos afectados por algún incidente de seguridad, podremos recuperar la actividad de nuestra empresa de forma ágil. ¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la línea gratuita de ayuda en ciberseguridad de INCIBE: 017.
Detalle:
Los correos maliciosos identificados tratan de infectar el dispositivo de la víctima con malware. Para ello utilizan mensajes que instan al usuario a descargar y ejecutar el archivo adjunto valiéndose de mensajes que suplantan la identidad de un contacto conocido y que simula ser una respuesta de este contacto sobre algún asunto a tratar. Una vez que el malware infecta el sistema, podría propagarse a otros equipos y a tus contactos. Dependiendo de la versión del malware con la que se infecta el equipo, este tendría diferentes comportamientos, como infección por ransomware o robo de datos bancarios, nombres de usuario y contraseñas o la libreta de direcciones de correo electrónico. En esta campaña, los ciberdelincuentes se valen de la ingeniería social a través del fraude del CEO para tratar de engañar a los usuarios. En caso de que el correo contenga un enlace a un sitio web, se analizará utilizando las herramientas VirusTotal y URLHaus. Si por el contrario contiene un adjunto, se puede analizar igualmente con VirusTotal, pero se debe tener en cuenta que el uso de esta herramienta en un fichero hace que la información que contiene deje de ser confidencial. Por otra parte se puede hacer uso de la herramienta Emocheck, aunque podría no ser capaz de detectar las últimas variantes. En caso de infección, podemos recurrir al empleo de las herramientas y procedimientos indicados en el blog de Protege tu Empresa de INCIBE: Recuerda mantener siempre tu antivirus actualizado y operativo, y tu firewall activado, así como disponer de otro software específico de limpieza para malware y realizar escaneos frecuentemente.

Si recibes un email suplantando a la DGT con una supuesta multa, no piques!

Fecha de publicación:
20/01/2021
Importancia: 
4 - Alta
Recursos afectados: 
Cualquier empleado, autónomo o empresa con vehículo para uso profesional que reciba algún correo electrónico como el incluido en el apartado detalle.
Descripción:
Desde INCIBE se ha detectado una campaña de envío de correos electrónicos fraudulentos que tratan de suplantar a la Dirección General de Tráfico (DGT) con el propósito de difundir malware. En dicha campaña, se envía un correo al usuario suplantando al Ministerio del Interior, con el asunto «AVISO – Multa de tráfico no pagada- Nº (XXXXX)]», donde las XXXXX son cifras. En el cuerpo del mensaje se informa al usuario de que se ha detectado una multa no pagada y que puede acceder a la notificación desde el enlace que figura en el correo. El enlace mostrado con el texto: «Acceso a Sede Electrónica» dirige al usuario a un sitio web externo donde se descarga un archivo comprimido en formato .zip que simula ser la multa y que contiene malware.
Solución:
Es importante que ante la mínima duda, analices detenidamente el correo, tal y como explicamos en el artículo: '¿Dudas sobre la legitimidad de un correo? Aprende a identificarlos'. Si has descargado y ejecutado el archivo, realiza un escaneo de todo el equipo con el antivirus y sigue las instrucciones marcadas por el mismo para eliminar el malware. Para evitar ser víctima de este tipo de engaños te recomendamos seguir estos consejos:
  • No abras correos de usuarios desconocidos o que no hayas solicitado: elimínalos directamente.
  • No contestes en ningún caso a estos correos.
  • Revisa los enlaces antes hacer clic, aunque sean de contactos conocidos.
  • Desconfía de los enlaces acortados.
  • Desconfía de los ficheros adjuntos, aunque sean de contactos conocidos.
  • Ten siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprueba que está activo.
  • Asegúrate de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y no tienen permisos de administrador.
Además, es importante que realices periódicamente copias de seguridad. Guárdalas en una ubicación diferente. Verifica que se realizan correctamente y que sabes recuperarlas. De esta forma, en el caso de vernos afectados por algún incidente de seguridad, podremos recuperar la actividad de nuestra empresa de forma ágil. ¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición una línea gratuita de ayuda en ciberseguridad de INCIBE: 017.
Detalle:
En la campaña denunciada, el correo electrónico trata de distribuir un tipo de malware Dropperdiseñado para tomar el control del equipo de la víctima. Una vez que el dispositivo infectado está bajo control del ciberdelincuente le permitirá realizar distintas acciones maliciosas, como robar datos personales o infectar nuevamente el equipo con otros tipos de malware específicos para sus objetivos. El cuerpo del mensaje del correo electrónico que suplanta a la Dirección General de Tráfico es el siguiente: Una vez se ha pulsado sobre el enlace «Acceso a Sede Electrónica», se abre el navegador para descargar a continuación un archivo .zip. El archivo descargado contiene malware, que puede ser detectado por algunos navegadores como archivo malicioso, notificándolo al usuario. Recuerda que si recibes una notificación oficial emitida por la DGT o cualquier otro organismo público, debes acceder a través de la sede electrónica del organismo que realiza dicha notificación. ¡Comprueba la URL!

Campaña de difusión de malware usando como señuelo el plan de movilidad del Ministerio de Sanidad

Fecha de publicación: 03/12/2020 Importancia: Alta Recursos afectados: Cualquier empleado o autónomo que haya recibido un correo electrónico con las características descritas en este aviso. Descripción Desde INCIBE se advierte de una campaña de envío de correos electrónicos fraudulentos que tratan de suplantar al Ministerio de Sanidad, Consumo y Bienestar Social para difundir malware, bajo el pretexto de movilidad actual permitida en el país por el COVID-19. En la campaña identificada, el correo tiene como asunto: «Comunicacion Urgente – COVID – 19. – [id XXXXXX ]», donde XXXXXX son números aleatorios. En el cuerpo del mensaje se muestra un mapa con las supuestas zonas bloqueadas actualmente a nivel nacional e invita a consultarlas mediante un enlace que apunta a un supuesto archivo de hoja de cálculo disponible para descargar junto al mensaje: “Descarga todas las hojas de calculo juntas (128 kb)”. Además, se hace pasar por un remitente legítimo en nombre del “DEPARTAMENTO SALUD ESPAÑA” con una dirección de correo que simula ser legítima, pero no lo es. Detalle En la campaña detectada, los ciberdelincuentes tratan de distribuir un tipo de malware, identificado como Trojan Downloader o Dropper, que a su vez descargará otro malware catalogado como troyano bancario, el cual ha sido diseñado especialmente para robar información confidencial de carácter bancario. Una vez el malware obtiene el control del dispositivo afectado, el ciberdelincuente podría realizar acciones maliciosas o dañinas para la víctima, como son la posibilidad de robar datos personales o infectar nuevamente el equipo con otros tipos de software malicioso específicos para lograr sus objetivos. En esta campaña, los ciberdelicuentes hacen uso de la técnica de email spoofing, con la que tratan de hacer creer a la víctima que el remitente del correo electrónico es el Ministerio de Sanidad, aunque realmente no es un remitente legítimo El mensaje que suplanta a la entidad estatal es el siguiente: En el cuerpo del mensaje se pueden observar numerosos errores gramaticales básicos, algo que no comete una entidad oficial. Al hacer clic en el enlace adjunto, se abre el navegador para descargar el archivo malicioso, en este caso concreto «COVID-19_040749_BNR.zip», como puede observarse en la siguiente imagen: El archivo descargado contiene el malware, que puede ser detectado por algunos navegadores, como archivo malicioso, notificándolo al usuario. Recuerda que si recibes una notificación por de un organismo gubernamental, debes acceder a través de la sede electrónica del mismo, para comprobar las notificaciones o avisos que te envíen, nunca a través del enlace contenido en el cuerpo del mensaje.

Detectada campaña de phishing que suplanta a Vodafone y que trata de robarte tus credenciales de acceso

Fecha de publicación: 30/11/2020 Importancia: Alta Recursos afectados: Cualquier empleado, autónomo o empresa que reciba un correo suplantando a la empresa de telecomunicaciones, Vodafone España, como el descrito a continuación.

Descripción

La campaña de suplantación (phishing) a Vodafone trata de engañar al usuario para robarle sus credenciales de acceso al área de clientes con el fin último de obtener los datos personales del usuario para utilizarlos en futuros fraudes o ataques. En la campaña identificada desde INCIBE, el correo que suplanta a la empresa descrita tiene como asunto “Vodafone.es “. En el cuerpo del mensaje se informa de una supuesta actualización que puede ser consultada a través del enlace que facilitan los ciberdelincuentes. Una vez que se ha seleccionado el enlace que figura en el correo, se redirige al usuario a una web falsa que nada tiene que ver con el área de clientes de Vodafone donde los ciberdelincuentes intentarán robar sus credenciales de acceso al servicio, además de tratar de conseguir sus datos personales.

Solución

Se recomienda verificar que el remitente del correo coincide con la empresa que supuestamente lo envía, prestando especial atención a las direcciones que aparecen en la barra de navegación tras hacer clic en los enlaces. Además, antes de facilitar algún dato personal o bancario a través de un enlace, es preferible recurrir directamente a la página web legítima de Vodafone España, verificando que utilice canales de comunicación seguros (https) y su certificado sea correcto, para posteriormente confirmar posibles notificaciones o en caso de duda, contactar telefónicamente con ellos. En cualquier caso, nunca facilitar tus credenciales de acceso y datos personales si no se ha verificado previamente la autenticidad del remitente y si nos surgen dudas acerca del correo recibido. Si por el contrario has accedido al área de clientes a través del enlace facilitado, contacta inmediatamente con Vodafone España para informarles de la situación. Recopila todas las pruebas de las que dispongas (capturas de pantalla, e-mail, mensajes, etc.) y contacta con las Fuerzas y Cuerpos de Seguridad del Estado (FCSE) para presentar una denuncia. Como pautas generales, para evitar ser víctima de fraudes de este tipo se recomienda:
  • No abrir correos de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
  • En caso de que el correo proceda de una entidad bancaria legítima, nunca contendrá enlaces a su página de inicio de sesión o documentos adjuntos.
  • No contestar en ningún caso a estos correos.
  • Tener precaución al seguir enlaces o descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
  • Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que está activo.
  • Asegúrate de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.

Detalle

En la campaña detectada, el asunto del correo es: “Vodafone.es”, y en el mismo, el ciberdelincuente indica que está disponible una nueva actualización en el servicio. Cabe destacar que este tipo de correos, suelen contener faltas de ortografía o errores gramaticales, que una empresa legítima no cometería. En el cuerpo del mensaje, se invita al usuario a conocer las novedades clicando en el enlace contenido en el mismo. Una vez ha clicado, este es redirigido a una página web falsa para que introduzca sus credenciales de acceso (usuario y contraseña), como se puede observar a continuación: Finalmente, una vez que el usuario ha introducido sus credenciales, los ciberdelincuentes redirigen a la víctima a la web legítima de la empresa, tras haber logrado su objetivo. Recuerda, si recibes este correo en tu bandeja de entrada, no lo abras y márcalo como spam o correo no deseado para que los servidores de correo lo filtren para proteger a otros usuarios.

Solicitar llamada


PUEDE SOLICITAR QUE NOS PONGAMOS EN CONTACTO CON USTED