La campaña de spam
El servicio de búsqueda de malware Any.Run advirtió la semana pasada sobre campañas de correo electrónico que atraían a los usuarios con promesas de pagos, beneficios y bonificaciones de fin de año.
Se indica a los destinatarios que descarguen el documento adjunto (un archivo comprimido [ZIP] o un archivo de MS Office [por ejemplo, DOCX]) y lo abran, pero el archivo está dañado.
Luego, la aplicación solicita a los destinatarios que le permitan recuperar el contenido del documento.
Una vez finalizado el proceso de recuperación y abierto el documento, se indica a los destinatarios que escaneen un código QR contenido en el mismo para acceder al “documento seguro”.
Pero esto es sólo un truco para llevar a las víctimas potenciales a una página de inicio de sesión de Microsoft falsificada, creada para recopilar las credenciales de inicio de sesión que los usuarios involuntarios ingresan en ella.
Uso de documentos corruptos para obstaculizar la seguridad del correo electrónico y las soluciones antivirus
“Los atacantes explotan los mecanismos de recuperación de archivos ‘dañados’ de tal manera que programas correspondientes como Microsoft Word, Outlook o WinRAR, que tienen procedimientos de recuperación integrados, manejan dichos archivos sin problemas”, afirma Any.Run .
El truco del “documento dañado” tiene como objetivo engañar a las soluciones de seguridad del correo electrónico.
Los archivos dañados tampoco fueron detectados inicialmente como maliciosos o fueron marcados por solo algunas de las soluciones antivirus utilizadas por el servicio VirusTotal. “Todas las soluciones antivirus devolvieron el mensaje ‘limpio’ o ‘Elemento no encontrado’ porque no pudieron analizar el archivo correctamente”, agregó la compañía.
Any.Run afirma que el ataque ha estado activo desde agosto de 2024 y sigue en curso. “Evade el software antivirus, impide las subidas a entornos aislados y evita los filtros de spam de Outlook, lo que permite que los correos electrónicos maliciosos lleguen a su bandeja de entrada”.
Fuente y redacción: helpnetsecurity.com
