Phishing a Nextel que descarga troyano
En el día de hoy nos han reportado un caso de phishing a Nextel en portugués y que finaliza con la descarga de un malware, un troyano bancario que roba usuarios y contraseñas.
El texto del correo phishing es el siguiente:
Por supuesto que el enlace mostrado en el correo no es al que conduce realmente sino que el sitio falso se encuentra alojado en: http://[ELIMINADO]1.177.2/boleto.html?id=http://www.nextel.com.br/IDNET/intranet/painel/arearestrita.asp?login=BOLETO29122010DEZEMBROVIA2
En donde claramente se puede ver que corresponde a una dirección IP y el sitio luce así:
Además ese sitio ha sido abusado por un grupo de atacantes de Albania como se puede ver en index.html:
No está a nuestro alcance determinar si hay relación entre los defacers del sitio y los delincuentes que pusieron la página de phishing y el troyano, pero tratándose de un servidor con fallas de seguridad nada impide que muchos grupos distintos abusen así de servidores en estas condiciones, con fallas de seguridad.
Desde Segu-Info ya hemos reportado el caso a Phishtank y Google SafeBrowsing para que procedan a su bloqueo. Por otro lado el archivo dañino nextel-boleto.exe es detectado por 17/43 antivirus en VirusTotal.
Raúl de la Redacción de Segu-Info
El texto del correo phishing es el siguiente:
Contrato N °89734975El correo se ve así:
________________________________________
Segue a segunda via do boleto referente ao mês de Dezembro.
http://www.nextel.com.br/IDNET/intranet/painel/arearestrita.asp?login=BOLETO29122010DEZEMBROVIA2
________________________________________
Atenciosamente,
Renan Vasconcelos Pierine
Dpto Financeiro - NEXTEL
www.nextel.com.br
7843-1245 - ID:13*10997
[email protected]
Por supuesto que el enlace mostrado en el correo no es al que conduce realmente sino que el sitio falso se encuentra alojado en: http://[ELIMINADO]1.177.2/boleto.html?id=http://www.nextel.com.br/IDNET/intranet/painel/arearestrita.asp?login=BOLETO29122010DEZEMBROVIA2
En donde claramente se puede ver que corresponde a una dirección IP y el sitio luce así:
Además ese sitio ha sido abusado por un grupo de atacantes de Albania como se puede ver en index.html:
Desde Segu-Info ya hemos reportado el caso a Phishtank y Google SafeBrowsing para que procedan a su bloqueo. Por otro lado el archivo dañino nextel-boleto.exe es detectado por 17/43 antivirus en VirusTotal.
Raúl de la Redacción de Segu-Info
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!