{"id":22421,"date":"2021-07-28T09:36:11","date_gmt":"2021-07-28T15:36:11","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=22421"},"modified":"2021-07-28T09:36:11","modified_gmt":"2021-07-28T15:36:11","slug":"google-script-phishing","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/google-script-phishing\/22421\/","title":{"rendered":"Phishing con Google Apps Script"},"content":{"rendered":"<p>Para robar las credenciales de correo electr\u00f3nico corporativo de los empleados de una empresa, los atacantes primero tienen que atravesar soluciones contra el <em>phishing<\/em> en los servidores de correo electr\u00f3nico de la empresa. Como regla, utilizan servicios Web leg\u00edtimos para evitar ser vistos; Google Apps Script, una plataforma de script basada en JavaScript, se utiliza cada vez m\u00e1s para este fin.<\/p>\n<h2>\u00bfQu\u00e9 es Apps Script y c\u00f3mo lo utilizan los atacantes?<\/h2>\n<p>Apps Script es una plataforma basada en JavaScript cuya funci\u00f3n es automatizar las tareas dentro de los productos de Google (por ejemplo, crear complementos para Google Docs), as\u00ed como en aplicaciones de terceros. En esencia, es un servicio para crear scripts y ejecutarlos en la infraestructura de Google.<\/p>\n<p>En el <em>phishing<\/em> por correo electr\u00f3nico, los atacantes utilizan el servicio para redireccionamiento. En lugar de insertar la URL de un sitio web malicioso directamente en un mensaje, los cibercriminales pueden plantar un enlace en un <em>script<\/em>. De esta manera, pueden esquivar las soluciones contra <em>phishing<\/em> a nivel del servidor de correo: un hiperv\u00ednculo a un sitio leg\u00edtimo de Google con buena reputaci\u00f3n es ignorado por la mayor\u00eda de los filtros. Como beneficio adicional para los cibercriminales, los sitios de <em>phishing<\/em> que no sean detectados pueden permanecer activos por m\u00e1s tiempo. Esta estrategia tambi\u00e9n da a los atacantes la flexibilidad de cambiar el script de ser necesario (en caso de que las soluciones de seguridad se actualicen), y de experimentar con la entrega del contenido (por ejemplo, enviar a las v\u00edctimas versiones distintas del sitio dependiendo de su regi\u00f3n).<\/p>\n<h2>Ejemplo de una estafa con Google Apps Script<\/h2>\n<p>Lo \u00fanico que los atacantes necesitan es lograr que el usuario haga clic en un enlace. Hace poco, el pretexto m\u00e1s com\u00fan era \u201cuna casilla de correo llena\u201d. En teor\u00eda, esto parece posible.<\/p>\n<div id=\"attachment_22424\" style=\"width: 1851px\" class=\"wp-caption aligncenter\"><img decoding=\"async\" aria-describedby=\"caption-attachment-22424\" class=\"wp-image-22424 size-full\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/87\/2021\/07\/28085709\/google-scripts-phishing-letter-1.jpg\" alt=\"Un correo electr\u00f3nico t\u00edpico de phishing que utiliza la estafa de casilla de correo llena.\" width=\"1841\" height=\"578\"><p id=\"caption-attachment-22424\" class=\"wp-caption-text\">Un correo electr\u00f3nico t\u00edpico de phishing que utiliza la estafa de casilla de correo llena.<\/p><\/div>\n<p>\u00a0<\/p>\n<p>En la pr\u00e1ctica, los atacantes por lo general son m\u00e1s descuidados y dejan se\u00f1ales de fraude que deber\u00edan ser obvias incluso para los usuarios que no est\u00e1n familiarizados con las notificaciones reales:<\/p>\n<ul>\n<li>El correo electr\u00f3nico parece provenir de Microsoft Outlook, pero el remitente de la direcci\u00f3n de correo electr\u00f3nico tiene un dominio extra\u00f1o. Una notificaci\u00f3n real sobre una casilla de correo llena deber\u00eda provenir del servidor interno de Exchange. (Se\u00f1al adicional: al nombre del remitente, Microsoft Outlook, le falta un espacio y utiliza un cero en lugar de la letra O.)<\/li>\n<li>El enlace, el cual aparece al pasar el cursor sobre \u201cArreglarlo en los ajustes de almacenamiento\u201d, lleva a un sitio de Google Apps Script:<\/li>\n<\/ul>\n<div id=\"attachment_22426\" style=\"width: 464px\" class=\"wp-caption aligncenter\"><img decoding=\"async\" aria-describedby=\"caption-attachment-22426\" class=\"wp-image-22426 size-full\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/87\/2021\/07\/28085744\/google-scripts-phishing-address.jpg\" alt=\"Enlace de correo electr\u00f3nico a Google Apps Script\" width=\"454\" height=\"119\"><p id=\"caption-attachment-22426\" class=\"wp-caption-text\">Enlace de correo electr\u00f3nico a Google Apps Script<\/p><\/div>\n<ul>\n<li>Las casillas de correo no exceden su l\u00edmite de repente. Outlook comienza a advertir a los usuarios de que el espacio se est\u00e1 terminando mucho antes de que llegue al l\u00edmite. Excederlo de repente por 850 MB probablemente significar\u00eda recibir esta cantidad de spam al mismo tiempo, lo cual es muy poco probable.<\/li>\n<\/ul>\n<p>De cualquier manera, este es un ejemplo de una notificaci\u00f3n leg\u00edtima de Outlook:<\/p>\n<div id=\"attachment_22427\" style=\"width: 335px\" class=\"wp-caption aligncenter\"><img decoding=\"async\" aria-describedby=\"caption-attachment-22427\" class=\"wp-image-22427 size-full\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/87\/2021\/07\/28085814\/google-scripts-phishing-notification.jpg\" alt=\"Notificaci\u00f3n leg\u00edtima respecto a una casilla de correo casi llena\" width=\"325\" height=\"188\"><p id=\"caption-attachment-22427\" class=\"wp-caption-text\">Notificaci\u00f3n leg\u00edtima respecto a una casilla de correo casi llena<\/p><\/div>\n<ul>\n<li>El enlace \u201cArreglarlo en los ajustes de almacenamiento\u201d redirige a un sitio de <em>phishing<\/em>. Aunque parezca una copia bastante convincente de la p\u00e1gina de inicio de sesi\u00f3n de la interfaz web de Outlook, una mirada a la barra de direcciones del navegador revela que la p\u00e1gina est\u00e1 alojada en un sitio web falso, no en la infraestructura de la empresa.<\/li>\n<\/ul>\n<h2>C\u00f3mo evitar morder el anzuelo<\/h2>\n<p>La experiencia muestra que los correos electr\u00f3nicos de <em>phishing<\/em> no necesariamente tienen que incluir enlaces de <em>phishing<\/em>. Por lo tanto, la protecci\u00f3n corporativa de confianza debe incluir capacidades contra el <em>phishing<\/em> tanto <a href=\"https:\/\/latam.kaspersky.com\/small-to-medium-business-security\/mail-server?icid=es-LA_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">a nivel del servidor de correo<\/a> como en <a href=\"https:\/\/latam.kaspersky.com\/small-to-medium-business-security?icid=es-LA_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">las computadoras de los usuarios<\/a>.<\/p>\n<p>As\u00ed mismo, la protecci\u00f3n responsable debe incluir <a href=\"https:\/\/k-asap.com\/es\/?icid=es-LA_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder____kasap___\" target=\"_blank\" rel=\"noopener\">capacitaci\u00f3n continua sobre concienciaci\u00f3n a los empleados<\/a> que cubra las ciberamenazas y estrategias de <em>phishing<\/em> actuales.<\/p>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"kesb-trial\">\n","protected":false},"excerpt":{"rendered":"<p>Los estafadores utilizan redireccionamientos mediante Google Apps Script para evitar que los servidores de correo electr\u00f3nico bloqueen los enlaces de phishing.<\/p>\n","protected":false},"author":2598,"featured_media":22422,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2795,3539,3540],"tags":[1869,61,2211,31,5319],"class_list":{"0":"post-22421","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-correo-electronico","11":"tag-google","12":"tag-outlook","13":"tag-phishing","14":"tag-scripts"},"hreflang":[{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/google-script-phishing\/22421\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/google-script-phishing\/23086\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/google-script-phishing\/18568\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/google-script-phishing\/9286\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/google-script-phishing\/25070\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/google-script-phishing\/23081\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/google-script-phishing\/25708\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/google-script-phishing\/25188\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/google-script-phishing\/31108\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/google-script-phishing\/9864\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/google-script-phishing\/40795\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/google-script-phishing\/17376\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/google-script-phishing\/17836\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/google-script-phishing\/15083\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/google-script-phishing\/27110\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/google-script-phishing\/31288\/"},{"hreflang":"nl","url":"https:\/\/www.kaspersky.nl\/blog\/google-script-phishing\/27325\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/google-script-phishing\/24129\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/google-script-phishing\/29463\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/google-script-phishing\/29255\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/latam.kaspersky.com\/blog\/tag\/phishing\/","name":"phishing"},"_links":{"self":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/22421","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/users\/2598"}],"replies":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/comments?post=22421"}],"version-history":[{"count":5,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/22421\/revisions"}],"predecessor-version":[{"id":22430,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/22421\/revisions\/22430"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media\/22422"}],"wp:attachment":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media?parent=22421"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/categories?post=22421"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/tags?post=22421"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}