adjuntos
En enero de 2014 empezó el programa New gTLD de registro de nuevos dominios de nivel superior, destinados a determinadas comunidades y tipos de organización (.science o .work). La principal ventaja de este programa es que se puede escoger un dominio según el tipo de actividad o la temática del sitio web. Las oportunidades que el programa New gTLD ofrece a estos negocios tuvieron gran aceptación en Internet y los spammers y los ciberdelincuentes no podían dejar pasar esta oportunidad, utilizando el programa como instrumento para llevar a cabo “campañas ilegítimas”, según determinó Kaspersky Lab.
Las nuevas zonas de dominio empezaron de inmediato la difusión masiva de spam publicitario, mensajes de maliciosos y de phishing. Los ciberdelincuentes registraron a propósito nombres de dominios para realizar envíos masivos de spam, hackearon sitios ya existentes para reemplazarlos por páginas de spam, o usaron ambos tipos de web para hacer redirecciones a sitios de spam.
Los correos electrónicos enviados desde los dominios .work, en general, contenían distintas ofertas de trabajo, incluyendo mantenimiento del hogar, construcción o instalación de equipos. Por otro lado, muchos de los mensajes de los dominios .science eran anuncios de academias que ofrecen educación a distancia, centros para formar enfermeras, abogados penalistas y otros profesionales.
El tráfico de spam del primer trimestre de 2015 también contó con muchos correos electrónicos enviados desde dominios de color, como .pink, .red o .black. Estos a menudo se utilizan para anunciar sitios de citas asiáticos. También vale la pena destacar que los dominios de primer nivel de los sitios principales eran de muy reciente creación y cambiaban constantemente, a diferencia de su contenido, que parecía cortado con la misma tijera, algo que es típico del spam.
“Al analizar el tipo de spam en los nuevos dominios en este primer trimestre, los seguros fueron uno de los temas más candentes en cuanto al número de mensajes y el número de dominios cambiantes en envíos masivos. Esto cubre todos los tipos de seguros – de vida, la salud, de propiedad, de coches, de animales, y el seguro funerario“, afirmó Tatyana Shcherbakova, analista senior de spam de Kaspersky Lab.
Importante aumento de spam en los nuevos dominios
Según las observaciones de tráfico de correo electrónico de Kaspersky Lab, hubo un aumento considerable en el número de nuevos dominios que envían spam en el primer trimestre de 2015.
El spam se está haciendo cada vez más peligroso para los usuarios de Internet. Los delincuentes informáticos no sólo inventan nuevos trucos, sino que con cada vez mayor frecuencia recurren a los viejos trucos que los usuarios ya han olvidado. Así, en el primer trimestre de 2015 los delincuentes propagaron, mediante spam, macrovirus, programas escritos en idioma de macros incluidos en los sistemas de procesamiento de datos (redactores de texto y gráficos, tablas electrónicas, etc.).
Todos los mensajes maliciosos contenían adjuntos con extensiones .doc o .xls, que al abrirse lanzaban un script VBA. Este script descargaba e instalaba en el sistema otros programas maliciosos, por ejemplo, el troyano bancario Cridex. Los macrovirus que detectamos pertenecían a la familia de los troyanos descargadores: Trojan-Downloader.MSExcel.Agent, Trojan-Downloader.MSWord.Agent, Trojan-Downloader.VBS.Agent.
La mayoría de los macrovirus no sólo se activan al abrir o cerrar un fichero infectado, sino también cuando el usuario trabaja con el redactor (de texto o tablas). El peligro de los macrovirus consiste también en que no sólo se contagia el fichero abierto al principio, sino también los demás ficheros a los que se hace solicitudes directas.
La propagación activa de macrovirus en el correo electrónico se debe no sólo a que es fácil crearlos, sino también a que los usuarios trabajan constantemente con redactores de texto y tablas, pero no siempre están conscientes del peligro potencial de los macrovirus.
Fuentes de spam
Según los datos de Kaspersky Lab, la cantidad de spam en el tráfico de correo fue del 59,2%, seis puntos porcentuales menos que en el último trimestre de 2014. La cantidad de correo no deseado ha disminuido de forma paulatina desde enero, con el 61,68%, hasta marzo, con el 56,14%.
El podio de países que más spam emiten está liderado por Estados Unidos, que envió el 14,5% de este, seguido por Rusia, con el 7,27%, que mantiene el segundo puesto, y de Ucrania, con un 5,56%, que se afianza en el tercer puesto. En América Latina, por su parte, Argentina ocupa el séptimo lugar (3,23%), Brasil el décimo (2,78%) y México el puesto número 16 (1,73%) en el “Top 20”.
En cuanto a los países que más envían adjuntos maliciosos, Inglaterra, Brasil y Estados Unidos, con el 7,85%, 7,44% y 7,18%, ocupan el podio. Alemania, que durante mucho tiempo estuvo entre los tres primeros, ha descendido al cuarto lugar con el 6,05%. Italia, Australia, India, Turquía, Francia y Rusia completan el top ten de emisores de spam.
Adjuntos maliciosos en el correo
El programa malicioso Trojan-Banker.Win32.ChePro.ink, que el año pasado ocupaba sólo el sexto lugar, fue el malware más popular entre los propagados por correo en el primer trimestre de 2015. Es un downloader implementado en forma de un applet CPL (componente del panel de administración) y que se encarga de descargar troyanos destinados al robo de información financiera confidencial. En su gran mayoría, los programas maliciosos de este tipo tienen como blanco a los bancos brasileños y portugueses.
Si no nos referimos a programas en concreto, sino a las características familiares de los programas maliciosos, entonces esta vez fue Upatre el que ocupó el primer puesto en el primer trimestre de 2015. En la mayoría de los casos, los representantes de la familia Upatre descargan el troyano bancario Dyre (también conocido como Dyreza o Dyzap), gracias a lo cual esta familia también ocupó el primer puesto en nuestra estadística de amenazas bancarias actuales.
La familia Andromeda, que según los resultados del año fue líder de esta lista, bajó al segundo puesto. Recordamos que los programas de la familia Andromeda permiten a los delincuentes controlar de forma inadvertida los equipos infectados, que con frecuencia se convierten en parte de botnets.
El tercer puesto lo ocupa la familia MSWord.Agent. Estos programas maliciosos son ficheros *.doc que contienen adjunto un macro escrito en Visual Basic for Applications (VBA) que se ejecuta al abrirse el documento. El macro descarga y ejecuta otros programas maliciosos, por ejemplo, uno de los representantes de la familia Andromeda.
El Informe completo de Spam del Primer Trimestre de 2015 de Kaspersky Lab está disponible en Securelist.
Consejos