Un correo electrónico de phishing, múltiples técnicas de evasión
Dado que las organizaciones utilizan cada vez más productos de seguridad para proteger su correo electrónico contra mensajes, archivos adjuntos y enlaces maliciosos, los intentos de phishing han tenido que volverse más sofisticados. Se trata de un proceso continuo en el que los atacantes desarrollan nuevas técnicas que les ayudan a eludir las soluciones de seguridad del correo electrónico para llegar a sus usuarios finales objetivo.
Recientemente nos hemos encontrado con un correo electrónico de phishing detectado por Datto SaaS Defense que utilizaba múltiples técnicas de evasión, cada una de ellas dirigida a un mecanismo de detección diferente. Estas técnicas, al combinarse, le permitieron eludir muchas soluciones de seguridad de correo electrónico.
En esta entrada del blog, les explicaré las diferentes técnicas de evasión utilizadas en este ataque, les explicaré por qué ayudan a que el ataque pase desapercibido y les sugeriré cómo podrían identificarse.
El ataque y sus técnicas de evasión
El correo electrónico en sí mismo incita al usuario a hacer clic en un enlace informándole de que su contraseña de Office 365 está a punto de caducar. El usuario hace clic en el enlace para actualizar su contraseña y llega a esta página web de inicio de sesión falsa de Microsoft:
Echa un vistazo detenidamente a esta página web. Existen varias técnicas de evasión que hacen que esta página no parezca sospechosa para las soluciones de seguridad de correo electrónico.
Evasión del favicon
El favicon (el ícono de la pestaña del navegador) es un poco diferente al favicon real de Microsoft. El atacante cambió los mosaicos rojos y amarillos y usó blanco en lugar de negro para el borde.
Esto podría provocar errores de coincidencia de plantillas (un método utilizado por las soluciones de seguridad para identificar páginas web de phishing), especialmente si no se utiliza la escala de grises al realizar la comparación. Por lo tanto, esto ayuda a que este ataque evada los motores de detección de phishing.
Evasión del logotipo
El logotipo de Microsoft utilizado en la página web de inicio de sesión falsa es ligeramente diferente del logotipo original de Microsoft. Como se puede ver en la imagen, el atacante utilizó una fuente similar, pero no idéntica, así como letras en negrita.
A la izquierda: el logotipo falso; a la derecha: el logotipo auténtico de Microsoft
Esto podría provocar errores en la coincidencia de plantillas, suponiendo que el texto de Microsoft esté incluido en la plantilla. Lo que aumenta aún más las posibilidades de que los motores de detección de phishing no detecten este ataque.
Evasión de formularios
The page might look like it contains a regular form, but it doesn’t use the actual <form> tag in HTML as a legitimate Microsoft website would. The attackers created the ‘form’ using <div> tags and CSS to look exactly the same, as you can see in the following HTML code.
Many phishing detection engines would scan the HTML looking for a <form> tag in order to investigate the form and reveal credential theft attempts. The fact that the form looks like a legitimate form makes the page unsuspicious to victims. The fact there is no <form> tag in the HTML prevents phishing detection engines from identifying the illegitimate form.
Texto sospechoso en imágenes
Algunos motores de detección de phishing analizan la página web en busca de campos que solicitan la contraseña del usuario (normalmente variaciones de la frase «ingrese su contraseña»). A continuación, examinan estos campos para verificar si son legítimos.
En esta página web de phishing, los atacantes utilizaron imágenes del texto en lugar del texto real cada vez que aparecía la palabra «contraseña».
Este método puede permitir que el ataque eluda las soluciones de seguridad de correo electrónico que analizan la página web en busca de intentos de phishing, ya que el motor de detección no reconoce la palabra «contraseña» y, por lo tanto, no sospecha que la página se utilice para la recopilación de credenciales.
Campo de entrada camuflado
Otra técnica que pueden utilizar los motores de detección de phishing es analizar el código HTML en busca de campos de entrada, lo que indica que podría tratarse de un intento de robo de credenciales. En este caso, los atacantes ocultaron el campo de entrada creando un elemento div vacío con una imagen de fondo que mostraba la palabra «contraseña». Esta es otra táctica que ayuda a este ataque por correo electrónico a eludir las soluciones de seguridad del correo electrónico.
La siguiente captura de pantalla muestra que el campo «Input» es en realidad un div vacío (con el identificador «spinput»):
Una vez que el usuario hace clic en este div, se crea un nuevo div con el identificador «inpfield». Este div funciona como un campo de entrada de texto en el que el usuario puede introducir su contraseña.
Para que esto parezca real al usuario, hay un marcador de posición con la palabra «contraseña». Para evitar ser detectados, los atacantes agregaron «$shy» entre las letras de la palabra «contraseña». De esta manera, los motores de detección no encontrarían la palabra «contraseña». Se trata de un guión blando que es invisible en HTML, por lo que el usuario no sospechará nada.
Si se observa con atención, se puede notar que la palabra «contraseña» en el campo de «entrada» ha cambiado después de hacer clic en ella, pasando de ser una imagen a un marcador de posición. Así es como se ve después de hacer clic en el campo de contraseña falso:
Usually, when legitimate webpages use a password field, they use <input> with type password to make the black dots that won’t show the text in the field. In this case, the text is inside the <div> and a JavaScript code is changing the values to be those black dots that the user sees.
¿Qué puedes hacer al respecto?
Se prevé que el phishing siga evolucionando y que las soluciones de seguridad tengan que mantenerse al día para evitar que los ataques de phishing eludan sus motores de detección.
Mientras que la mayoría de las soluciones de seguridad de correo electrónico se basan en datos de intentos de phishing conocidos, Datto SaaS Defense adopta un enfoque independiente de los datos. Datto SaaS Defense detecta amenazas de phishing completamente nuevas y desconocidas que otras soluciones no detectan, al analizar la composición de un correo electrónico, una URL y una página web seguros, en lugar de buscar técnicas de phishing conocidas. Es por eso que este ataque en particular (al igual que muchos otros) fue detenido por Datto SaaS Defense, pero logró eludir otras soluciones de seguridad de correo electrónico.
Si te interesa saber más, inscríbete en nuestro seminario web.
