Tarjetas de Gusanito falsas, creadas a gusto del usuario

Juancho nos informa que se están detectado sitios que ayudan a la creación de tarjetas virtuales a cualquier usuario que desee robar usuarios y contraseñas a otras personas. Este ataque se realiza a medida del usuario.

Se recibe un mensaje del remitente ecards @ cards.gusanito.com con notificaciones de supuestas tarjetas virtuales del servicio Gusanito

El mensaje incluso es enviado por contactos que no existen, los cuales el atacante puede inventar. Se nos da un enlace para abrir la postal, tal y como se hace desde el sistema original, pero dicho enlace lleva a una web totalmente distinta de gusanito o de hotmail.

Como es costumbre en estos casos, aparecerá como si hubieramos perdido la sesión de hotmail, solicitando de nuevo la clave.

La web implicada en el sitio falso, http://[eliminado]peru.com/, parece ser un sitio serio y que desconoce de esta situación, pero si se mira sus listas de enlaces recomendados puede verse que uno de ellos pertenece al sitio donde se aloja la interfaz web para que el atacante realice su postal a medida.
La victima entonces cree que esta interactuando con hotmail e ingresa sus datos inocentemente. Estos datos llegarán a un correo que el atacante especificó a la hora de crear el ataque. Aquí también podemos ver que se roban los datos (como el correo) de la persona que está creando la tarjeta.
Luego, la victima es enviada a una supuesta postal que no carga completamente y la cual esta alojada en un servidor distinto de Gusanito, por supuesto.

El atacante cuenta con un sistema basado en web que genera estos mensajes con una interfaz muy facil de manejar, por lo que cualquier usuario sin demasiados conocimientos puede hacerlo.
Este tipo de "ataque" han existido siempre y seguirán existiendo mientras haya personas inescrupulosas que los utilicen.

Como comentario, si se utiliza Firefox como navegador, detecta este caso phishing y lo informará al usuario como sitio falsificado.

Actualización 21:15: luego de realizar todo el procedimiento verificamos que la contraseña robada nunca llega al atacante que crea la tarjeta virtual. Es decir que el supuesto atacante también es engañado y las personas que crearon los sitios falsos son los que se llevan los premios de las contraseñas recolectadas.
Lección a aprender: si deseas engañar a alguien mira con quien te mides antes, no vayas a ser tu el engañado.

Gracias Juan!

cfb