Phishing súper ingenioso a través de Google Docs

Introducción

Días antes de la fecha de publicación de este post, un compañero de trabajo me reenvió una trampa de Phishing, destacando la ingeniosa modalidad utilizada por el delincuente, la cual merece el análisis que se muestra a continuación.

Autopsia del sencillo e ingenioso ataque

Los pasos que siguió el ciberdelincuente fueron los siguientes:

1) Crear una cuenta de Google. No es importante la dirección en sí. Lo importante es utilizar el nombre y apellido de la persona que se desea suplantar, por ejemplo el CEO de una organización. También se puede colocar luego una foto de perfil de la persona, la cual se puede conseguir en cualquier red social sin mayores problemas.

2) Crear un documento de Google Docs y dejar allí el texto del engaño de Phishing.

3) Dejar un comentario en el documento arrobando a la víctima.

4) Esperar que la víctima ingrese al enlace malicioso proporcionado.

¡Así de fácil!

Nota: El enlace malicioso puede formar parte del documento o del comentario.

Delivery garantizado en bandeja de entrada

La víctima, recibirá un correo con el comentario de Google Docs, de manera similar a la siguiente captura:

Este correo, es altamente probable que ingrese directamente a la bandeja de entrada del usuario. Está enviado desde los servidores de Google, firmado por Google, con todas las medidas de seguridad tomadas por Google en perfecto estado :)

Authentication-Results: mx.google.com;

dkim=pass header.i=@docs.google.com header.s=20161025 header.b="O/rA7Zvo";

spf=pass (google.com: domain of ---@docos.bounces.google.com designates 209.85.220.77 as permitted sender) smtp.mailfrom=---@docos.bounces.google.com;

dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=docs.google.com 

Suplantación de identidad nivel Dios

Como podemos ver en la captura anterior, no se muestra en ningún lugar el correo electrónico del remitente, únicamente su nombre, apellido y foto de perfil, totalmente editables en una cuenta de Google.

Además, es posible colocar el asunto que se desee ya que es tomado desde el título del documento.

De hecho, ni siquiera es necesario que la víctima ingrese al documento por ningún motivo, ya que todo el contenido de interés ya se encuentra en el email recibido.

Notificaciones PUSH directo al smartphone

Si la víctima posee la cuenta de correo electrónico de Google configurada en su smartphone, recibirá además el comentario en una notificación PUSH. Este tipo de notificaciones no muestran al usuario un nivel de detalle muy grande, por lo cual aumentan las probabilidades de que el usuario termine ingresando en el documento malicioso al abrir la notificación recibida.

¿Quién detecta esto?

Como podemos imaginar, el dominio de docs.google.com no caerá en listas negras como Google Safe Browsing para que nuestros usuarios puedan estar protegidos.

Lo máximo que ha hecho Google en el caso que me compartió mi compañero ha sido bloquear el ingreso al documento que contenía el engaño:

Pero esto no sirve de mucho, ya que el email sigue estando en bandeja de entrada con el contenido original intacto.

Probablemente, tampoco sea práctico bloquearlo dentro de nuestra organización, y de todas maneras por fuera de la organización los usuarios podrían recibir igualmente el engaño.

Como vimos, todos los registros SPF, DKIM y DMARC se encuentran perfectamente configurados, por lo cual los clientes de correo no lo van a bloquear. Tampoco los sistemas Anti SPAM o similares. Ni hablar del Anti SPAM del propio Google.

En mi opinión, la mejor arma contra este tipo de casos es la concientización. Un usuario concientizado respecto a este tipo de ataques, estará atento y podrá detectarlos, reportarlos y prevenir convertirse en víctima de los ciberdelincuentes.

¿Recibiste un correo con estas características? Reportalo en Antiphishing.la

Leer Más

Tipos de spoofing, o cómo se esconden los ciberdelincuentes en correos electrónicos

Al igual que en el correo postal, los correos electrónicos constan de un sobre y un contenido. 

Sin embargo, los clientes de correo electrónico por lo general muestran sólo la información del contenido, ocultando los datos del sobre en opciones avanzadas.

La información presente en el sobre permite a la empresa de correo postal - o al servidor SMTP - entregar el mensaje al destinatario correcto, sin necesidad de abrir el sobre. Además, permite enviar al remitente notificaciones en caso de que la entrega de un correo no sea posible.

Si bien el cliente de correo considera esta información poco relevante para el usuario final - ya que no la muestra por defecto -, el sobre y el contenido de un correo pueden tener escrito un remitente diferente:

Esto abre la puerta a distintos tipos de suplantación de identidad, o Spoofing. Los ciberdelincuentes juegan con distintas cadenas de texto dentro del FROM Header, para engañar a los destinatarios y lograr sus objetivos fraudulentos. Esto es sumamente sencillo de realizar y está 100% permitido por el protocolo SMTP. Basta con definir la cadena deseada al momento de enviar el mensaje ¡y listo!

Tipos de Spoofing

A la hora de elegir el tipo de Spoofing a realizar, un ciberdelincuente tendrá en cuenta si el dominio a suplantar:

• Cuenta con protocolos SPF, DKIM y DMARC correctamente configurados.
• Es vulnerable a un ataque BEC.

Ambos puntos pueden verificarse utilizando herramientas gratuitas.

Domain Spoofing

Consiste en suplantar el dominio de la organización.

Cuándo se utiliza

Cuando el dominio a suplantar no cuenta con protocolos SPF, DKIM y DMARC correctamente configurados, o cuenta con ellos pero es vulnerable a un ataque BEC.

Ventajas para el ciberdelincuente

Es el tipo de Spoofing más difícil de detectar.

Lookalike Domain Spoofing

Consiste en utilizar un dominio similar al de la organización que se desea suplantar.

Cuándo se utiliza

Cuando el dominio a suplantar cuenta con protocolos SPF, DKIM y DMARC correctamente configurados, o no es vulnerable a un ataque BEC. Sólo es necesario que se cumpla uno de los dos puntos.

Ventajas para el ciberdelincuente

• Se ahorra posibles dolores de cabeza relacionados con los protocolos de seguridad.
• Los dominios a utilizar pueden ser tan similares al real que a primera vista no se detectan las diferencias. De hecho, existen herramientas gratuitas que ofrecen decenas de alternativas por cada dominio.

Display Name Spoofing

Es el caso más básico de Spoofing y consiste en modificar únicamente el nombre del remitente, manteniendo su dirección de email original:

Cuándo se utiliza

Cuando el dominio a suplantar cuenta con protocolos SPF, DKIM y DMARC correctamente configurados, o no es vulnerable a un ataque BEC. Sólo es necesario que se cumpla uno de los dos puntos.

Ventajas para el ciberdelincuente

• Si utiliza un dominio con buena reputación puede mejorar sus chances de llegar a la bandeja de entrada del usuario final.
• Los usuarios finales sin concientizar caen fácilmente incluso en este tipo de engaños, los más sencillos.

Aprovechando el Reply-to

Si un usuario final responde al correo, su cliente de correo enviará la respuesta al email especificado en el FROM Header.

Esto no es deseable en todos los casos para los ciberdelincuentes. Entonces hacen uso del Reply-to Header. El cliente de correo enviará las respuestas del usuario a la dirección de email que figure allí.

Una combinación viable - de muchas - para un ciberdelincuente podría ser la siguiente:

El usuario, el detector de mentiras

El protocolo SMTP permite, de manera extremadamente sencilla, realizar suplantación de identidad dentro de un correo electrónico. Los mecanismos provistos por SPF, DKIM y DMARC, son claves a la hora de proteger un dominio contra las técnicas de spoofing. Sin embargo, los ciberdelincuentes cuentan con otras herramientas, también de gran sencillez, para concretar sus ataques.

Un usuario correctamente concientizado se convierte en una capa de seguridad indispensable para afrontar aquellos correos de suplantación de identidad que no puedan ser detenidos por medios tecnológicos, los cuales, como analizamos, son posibles, simples de enviar y muy efectivos.

Si un usuario concientizado logra detectar alguno de estos casos de suplantación de identidad, sabrá cómo actuar en consecuencia:

1. Marcar el correo como Spam
2. Utilizar el botón específico que use la organización para reportar, desde la propia interfaz del correo electrónico
3. Reenviar el correo al área de la organización correspondiente para su revisión y tratamiento
4. Denunciar el caso en sitios como antiphishing.la para mayor visibilidad.

Leer Más

Qué es un Awareness Management System

Introducción

La concientización ha demostrado ser una medida efectiva y con resultados visibles para la prevención de riesgos y para la correcta reacción frente a su aparición.

Prueba fehaciente son los programas de concientización en el marco de la pandemia del COVID-19. Las medidas de precaución se instauraron en la sociedad mediante distintos tipos de campañas sobre el lavado de manos, desinfección de lugares comunes, uso de mascarillas, etc. como así también, se afianzaron los protocolos de reacción frente a la percepción de algún síntoma de la enfermedad.

Para apoyar el proceso de concientización dentro de las organizaciones, existen los Sistemas de Gestión de Concientización (AMS por sus siglas en inglés: Awareness Management System).

Comparativa entre LMS y AMS

Qué esperar de un LMS

• Herramientas preparadas para brindar cursos académicos en línea
• Ausencia de contenidos predefinidos
• Grado bajo de motivación de parte de los alumnos, debido a la falta de técnicas modernas de aprendizaje
• Necesidad de post procesamiento de registros de auditoría para la elaboración de reportes gerenciales

Qué esperar de un AMS

• Variedad de herramientas modernas de concientización preparadas para lograr cambios de hábito
• Herramientas de calendarización de las campañas del programa
• Buen recibimiento por parte de los usuarios y grado alto de asimilación de contenidos
• Reportes y registros de auditoría correlacionados para demostrar cambio de comportamiento y mejora de la cultura organizacional.

Seguridad

El contenido de las formaciones corporativas, como así también sus resultados, poseen gran cantidad de información sensible que debe ser resguardada de manera apropiada.

El uso de LMS de generaciones pasadas como Moodle, compromete en una medida inaceptable la seguridad de la información que se maneja en su entorno. De manera continua aparecen nuevos problemas o brechas de seguridad que permiten la vulneración de estos sistemas de manera sencilla. Los parches para solucionar dichos problemas demoran en llegar y además, su implementación suele ser tan compleja que muchos prefieren no hacerlo.

Concientización corporativa

La nueva era de la información no sólo ha traído consigo más y mejor tecnología, sino que ha cambiado completamente la manera en que trabajamos y adquirimos hábitos.

De más está decir que no se observarán resultados de calidad si sólo se brinda al personal un documento en PDF para leer y tomar consciencia sobre determinado tópico.

Actualmente, existen técnicas comprobadas de concientización que involucran medios innovadores, presencia de gamificación, mayor interacción del usuario y sistemas de recompensa, entre otros elementos. Dentro de la vorágine en la cual transcurre un día laboral actual, los mencionados elementos son necesarios para lograr una concientización de calidad con resultados visibles.

Lamentablemente, los LMS genéricos ofrecen métodos de formación académicos tradicionales y no están preparados para gestionar campañas de cambio de comportamiento en este nuevo escenario.

SMARTFENSE como ejemplo de AMS corporativo

SMARTFENSE está siendo utilizada actualmente como solución integral de concientización del personal en organizaciones de distintas verticales. Con sus componentes de Newsletters, Módulos Interactivos, Exámenes, Encuestas, Videos y Simulaciones, es posible gestionar efectivas campañas de concientización.

Además, la funcionalidad de multicatálogos permite concientizar sobre diversas temáticas dentro de la misma plataforma de manera sencilla, intuitiva y ordenada. Todo esto permite integrar los diferentes esfuerzos de concientización de la organización en un único lugar. 

Por último pero no menos importante, la plataforma permite obtener reportes de concientización unificados, registros de auditorías uniformes y una mayor simpleza a la hora de brindar una solución global a la gestión de las campañas de concientización.

Conclusiones

Si se busca generar un cambio de comportamiento en las personas, y lograr además un cambio en la cultura de nuestra organización, existen herramientas específicas preparadas para concretarlo.

En este contexto, un AMS podrá acompañarnos durante todo el proceso y nos permitirá, mediante sus reportes, demostrar una evolución real de acuerdo a nuestros objetivos.

Leer Más

Hardening de Usuarios

Origen del término

El término Hardening es un clásico dentro del ámbito de la seguridad, y hace referencia al:

“Proceso de asegurar un sistema reduciendo sus vulnerabilidades o agujeros de seguridad” (Wikipedia)

Generalmente, se lo ve asociado al hardening de servidores o sistemas operativos. 

Esto fue así hasta el año 2016, cuando nació la plataforma SMARTFENSE, y con ella, se introdujo un nuevo concepto dentro del mundo de la seguridad de la información: “Hardening de Usuarios”.

Nuestro CEO, Mauro Graziosi, notó que para fortalecer la capa humana de las organizaciones se debía llevar adelante un proceso clásico de Hardening pero destinado particularmente a los usuarios de las organizaciones.

Es por esto, que Graziosi introdujo este nuevo término dentro del mundo de la seguridad y creó la plataforma SMARTFENSE como la herramienta por excelencia para llevar adelante dicho proceso de manera simple y efectiva. Tanto el concepto como la herramienta tienen un origen común y complementario.

“SMARTFENSE nace exclusivamente para materializar este nuevo y necesario concepto de Hardening de Usuarios en la seguridad de la información.” 

¿Cómo hacer Hardening de Usuarios?

La manera de reducir las vulnerabilidades de nuestros usuarios es a través de un proceso continuo de formación y concienciación destinado a hacer más seguros los comportamientos, conocimientos y opiniones de las personas de nuestra organización.

Un proceso de Hardening de Usuarios con SMARTFENSE insume una cantidad mínima de tiempo tanto a responsables del proceso como a usuarios finales y sus resultados pueden ser comprobados de manera empírica.

Medir el estado

Este es el paso más importante de todo el proceso: medir los comportamientos, conocimientos y opiniones de nuestros usuarios para representar el estado de nuestra capa de seguridad humana.

Los comportamientos se miden a través de las herramientas de simulación de Phishing y Ransomware de SMARTFENSE, mientras que los conocimientos y opiniones se evalúan utilizando sus herramientas de Exámenes y Encuestas.

Estas mediciones se representan en un reporte gerencial llamado Fotografía de riesgo humano, o Human Risk Photograph. El reporte consta de una serie de indicadores creados originalmente por SMARTFENSE a partir de una investigación práctica en la que participaron empresas de diversos tamaños y lugares geográficos.

Concienciar y capacitar

Una vez que conocemos el estado de nuestra capa humana, estamos en condiciones de fortalecerla. Para esto, debemos concienciar y capacitar a nuestros usuarios utilizando contenidos, herramientas y técnicas apropiadas. 

Además, debemos reforzar de manera continua esta formación para mantener a nuestros usuarios atentos y con la seguridad como parte integral de su día a día. 

Todo esto podemos hacerlo a través de las herramientas de Módulos Interactivos, Newsletters y Momentos Educativos de SMARTFENSE, que utilizan contenidos de concienciación y capacitación preparados para generar cambios reales en los usuarios y técnicas modernas de formación.

Analizar y mejorar

En todo proceso de mejora continua, es necesario detenerse a evaluar el grado de efectividad de nuestras acciones. La manera de hacer esto es observando reportes empíricos generados automáticamente por SMARTFENSE a partir de la interacción de nuestros usuarios.

Los reportes nos brindarán datos unívocos que nos servirán de entrada para un nuevo ciclo en el proceso contínuo de Hardening de Usuarios.

Fortalezca la capa de seguridad más importante

¿Le gustaría realizar un proceso de Hardening de Usuarios en su organización o proveer este servicio a sus clientes? Contáctese con nosotros.

Leer Más