Ganador Premio Mastercard. Cómo es el robo de cuentas

El día 20  nos han denunciado otro "famoso" caso del Premio falso de Mastercard que desde Segu-Info venimos siguiendo desde hace más de 3 meses y que como ya hemos mencionado anteriormente "hereda" su nombre del sitio verdadero de Mastercard.

En este caso el sitio falso se encontraba registrado en el dominio "premio mastercard.com.ar", lo cual significa que nadie ha hecho nada para evitar que esto ocurra y como puede verse en NIC.ar el dominio existe desde el 17/12/2009 y no se ha elevado ninguna alerta en NIC (desconocemos el caso de Mastercard debido a que no han respondido nuestros correos).

Nota: al 24/12 el dominio sigue registrado.

¿Tan difícil es controlar el registro de palabras claves (como Mastercard y Visa) y sobre todo de empresas gigantes como de las que hablamos?
Como un comentario adicional, "premio visa.com.ar" no se encuentra registrado y no sería extraño que los delincuentes también lo utilicen en cualquier momento.

Debido a los últimos cambios que está realizando NIC en Argentina, sería bueno que tome nota de esto, respetando las mejores prácticas antiphishing sugeridas por APWG.

El registro de DNS figuraba como dado de alta en la empresa CDMON (que permite registros gratuitos) a quien hemos denunciado el caso para que proceda a la baja correspondiente (ya realizada). También se ha procedido a la denuncia para dar de baja a la brevedad el dominio .com.ar desde los registros de NIC (sin respuesta hasta el momento).

Luego del registro de dominios, el procedimiento es vulnerar un sitio web o alojar el sitio falso en un hosting gratuito, como en este caso y en los últimos casos observados. En este sitio falso es donde se solicitan los datos de la tarjeta a robar:

Como puede verse, se embebe dicho sitio (http://[ELIMINADO].zobyhot.com/NUEVO) en un iframe. Este sitio ya ha sido denunciado y seguramente cambiará en los próximos días y por eso es necesario dar de baja el dominio .com.ar a la brevedad.
Al ingresar al sitio se solicita los mismos datos a los cuales ya estamos acostumbrados:

Luego, si el usuario ingresa sus datos, los mismos son enviados al delincuente y el mismo se hace con información confidencial para efectuar posteriormente un delito.

Pero, ¿cómo se realiza dicho robo de datos?

El 20 de diciembre hemos podido ver el código fuente del archivo que realiza el envío de información y el correo electrónico al cual es enviada la información. Parte del código fuente del archivo enviar.php es el siguiente:

Por supuesto no es nada elaborado y simplemente el delincuente recibe un correo electrónico en la cuenta xjosekp[ELIMINADO]@gmail.com con los datos obtenidos y posteriormente almacena la IP del usuario (en el archivo banned.txt) para llevar un registro y quizás para que el mismo usuario no vuelva a ingresar. Lo curioso es que posteriormente nunca se consulta ese archivo, por lo cual el mismo usuario podría ser robado más de una vez.

Gracias a este archivo es posible conocer cuantos usuarios han caído en la trampa y al momento de escribir el presente el archivo tenía alrededor de 20 IP registradas (algunas repetidas):

Nota: esto no asegura que esos usuarios hayan ingresado información verdadera en el formulario.

Luego de almacenar la IP, se redirige al usuario al mensaje que finaliza el engaño y se le brinda información sobre que debe esperar la aprobación de la inscripción en el premio.

Desde Segu-Info hemos logrado contactar (al supuesto) desarrollador de este script PHP que realiza el robo de datos y a continuación mostramos la promoción que realiza en distintos sitios:

Al ponernos en contacto con él, nos informa de las condiciones de pago y nos muestra los resultados de lo que hace el script (archivos adjuntos en el correo):

Si bien no prueba nada, las imágenes adjuntas en el correo efectivamente se corresponde con el caso analizado y de todos los anteriores.

Por otro lado, en este ataque en particular el control de archivos en el servidor es realizado a través de una webshell con un panel de control remoto desarrollado en PHP y, como es costumbre en este tipo de paneles, permite subir, bajar, crear archivos en el servidor, y mucho más:

En el código PHP del mismo (pirulin.php) puede verse que las personas a quien se agradece son conocidos defacers que se han realizado muchos ataques en los últimos años. Esta pantalla demuestra que los defacers no buscan la paz y amor en el mundo... Son delincuentes que se aprovechan de la tecnología y de falsos mensajes religiosos y políticos para hacer dinero:

Nota: lo dicho no significa que los defacers o el desarrollador del código de la webshell estén relacionados con el phisher ya que el código es público y cualquiera puede descargarlo y utilizarlo.

Luego de lo observado sobre la forma de trabajo de estas personas, esperamos poder estar más cerca del cierre definitivo de su actividad delictiva y para ello hacemos un llamamiento a todas las entidades a quienes le corresponda actuar.

Cristian de la Redacción de Segu-Info