En 2021, los investigadores de Kaspersky bloquearon 1,2 millones de páginas de phishing individuales basadas en 469 kits de phishing, los cuales facilitan que los cibercriminales lancen ataques sin mayor esfuerzo

A lo largo del año pasado, los investigadores de Kaspersky bloquearon 1,2 millones de páginas de phishing únicas basadas en 469 kits de phishing (plantillas de páginas falsas listas para usar, que permiten a los ciberdelincuentes lanzar ataques sin mayor esfuerzo). Puesto que un sitio de phishing se puede bloquear de manera rápida, los estafadores buscan maneras de generar estas páginas apresuradamente y en grandes cantidades. Con los kits de phishing, un estafador sin experiencia puede crear cientos de páginas fraudulentas en poco tiempo.

Una de las técnicas de phishing más comunes es crear una página falsa que imita una marca muy reconocida, en la cual se solicita a los usuarios que ingresen sus datos personales. Crear estos sitios manualmente lleva mucho tiempo, y no todos los creadores tienen las habilidades necesarias para desarrollarlas o administrarlas. En contraste, con el uso de kits de phishing, los atacantes sin conocimientos técnicos avanzados pueden llevar a cabo un ataque con solo seguir una breve instrucción que acompaña a la plantilla ofrecida.

Además de estas plantillas, algunos kits de phishing contienen scripts o guiones para enviar mensajes en servicios de mensajería populares o por correo electrónico con enlaces de phishing. Este software engañoso automatiza el proceso de envío masivo de correo electrónico y permite a los estafadores enviar cientos de miles de mensajes con información fraudulenta como cebo a sus posibles víctimas.

Los programadores de kits de phishing no se limitan a las estratagemas básicas y continúan creando complementos nuevos y avanzados, como, por ejemplo, herramientas para evadir la detección. Agregando código oculto o basura a las páginas generadas, los programadores dificultan la detección y el bloqueo del sitio.

Este código a menudo consiste solo en una gran cantidad de texto incoherente, por lo que los compradores de kits de phishing, especialmente los usuarios novatos, no lo leen de cerca. Algunos programadores poco honrados se aprovechan de esto y agregan este código extra no solo a la página, sino también al código responsable de transmitir información. Al hacer esto, pueden robar los datos que el comprador de su producto logró recopilar y utilizarlos para sus propios fines.

Los kits de phishing se venden activamente en la Darknet o en canales cerrados de Telegram. Los precios varían según la complejidad de la plantilla, y se ofrecen entre US$50 y US$900 en los canales de Telegram que se especializan en la venta de herramientas para creadores de phishing. Los kits más simples se pueden encontrar de forma gratuita en el dominio público.

Muchos programadores ofrecen paquetes completos en la Darknet, como Phishing-as-a-Service, que incluye kits de phishing. Estos paquetes brindan una gama completa de servicios, desde la creación de sitios falsos para cualquier marca conocida, hasta la presentación de una campaña completa de robo de datos que incluye investigación de posibles objetivos, correos electrónicos de phishing, así como el cifrado y el envío de los datos robados a un cliente.

Al poseer el código fuente de un kit de phishing, es posible bloquear todas las páginas falsas que se han creado utilizando esta plantilla. Por ejemplo, el año pasado los investigadores de Kaspersky detectaron 469 kits de phishing, lo que les permitió bloquear 1,2 millones de sitios web de phishing individuales.

“Cada año bloqueamos millones de páginas de phishing. A pesar de que la vida útil de estas páginas es de solo un par de horas, muchas de ellas logran su objetivo y roban datos de los usuarios. Para ampliar el alcance de estos ataques, los estafadores necesitan crear miles de páginas falsas todos los días, y los kits de phishing se han convertido en una forma fácil de hacerlo. Atrás quedaron los días en los que solo los piratas informáticos más hábiles podían desarrollar un sitio de phishing y estafar a los usuarios para que divulgaran su información personal. Ahora, cualquier aficionado puede crear su propia página de phishing, por lo cual los usuarios deben tener cuidado al seguir los enlaces incluidos en mensajes de correo electrónico o apps de mensajería”, comenta Olga Svistunova, investigadora de seguridad de Kaspersky.

Para protegerse contra los ataques de phishing, Kaspersky recomienda:

• Verificar el enlace antes de hacer clic. Pase el cursor sobre el enlace para obtener una vista previa de la URL y buscar errores ortográficos u otras irregularidades.
• Es una buena práctica ingresar el nombre de usuario o contraseña a través de una conexión segura. Busque el prefijo HTTPS antes de la URL del sitio, lo que indica que la conexión al sitio es segura.
• A veces, los correos electrónicos y los sitios web parecen genuinos, según lo bien que los delincuentes hayan hecho su trabajo. A pesar de su similitud con las originales, estas páginas son mucho más peligrosas.
• Es mejor no seguir del todo los enlaces de correos electrónicos sospechosos. Consulte los enlaces con el dominio de su banco.
• Evite iniciar sesión en la banca en línea o servicios similares a través de redes Wi-Fi públicas. Los puntos de acceso son convenientes, pero es mejor usar una red segura. Las redes abiertas pueden ser creadas por delincuentes que, entre otras cosas, falsifican direcciones de sitios web a través de la conexión y le redirigen a usted hacia una página falsa.
• Instale una solución de seguridad que sea de confianza y siga sus recomendaciones. Estas soluciones seguras resolverán la mayoría de los problemas automáticamente y le alertarán si es necesario.
• Recomendamos que las empresas realicen un seguimiento de los nuevos kits de phishing dirigidos a sus clientes o empleados. Se puede recibir información sobre kits de phishing a través de servicios que brindan datos sobre ciberamenazas, como es el Kaspersky Threat Intelligence Portal. Si desea verificar si la página es legítima, ingrese el enlace en la búsqueda del Portal de inteligencia de amenazas y obtenga las estadísticas, incluida la información sobre los kits de phishing.
• Para evitar fraudes de phishing en la web, es una buena idea instalar herramientas de seguridad para el navegador que bloquean sitios web de phishing conocidos por contener y descargar material malicioso, o evitar que se descargue el malware en la computadora del usuario.

Lea el informe completo sobre el mercado de kits de phishing en Securelist.

Origen

Análisis de Kaspersky sobre los componentes básicos del ciclo de vida de este tipo de páginas ayuda a mejorar los tiempos de respuesta ante nuevos incidentes y otros fines

El análisis del ciclo de vida de las páginas de phishing llevado a cabo por los investigadores de Kaspersky revela que un tercio de ellas deja de existir en un solo día, por lo que las primeras horas de vida de la web son las más peligrosas para los usuarios, ya que se trata del momento en el que se difunden los enlaces maliciosos antes de que los motores antiphishing los puedan detectar y registrar en sus bases de datos.

Para este estudio, los investigadores han analizado un total de 5,307 ejemplos de páginas de phishing en el periodo comprendido entre el 19 de julio y el 2 de agosto de 2021. Así, una gran parte de los enlaces analizados (1,784) dejaron de estar activos tras el primer día de monitorización, e incluso numerosas páginas dejaron de existir en las primeras horas. Como resultado, a las 13 horas de haber iniciado el seguimiento, una cuarta parte de todas las páginas ya estaban inactivas, y la mitad de las webs no duraron más de 94 horas.

La vida útil de una página de phishing depende del momento en que se hace visible para los administradores del sitio y es eliminada por ellos. Incluso si los phishers han desplegado su propio servidor en el dominio comprado, y son sospechosos de actividad fraudulenta, los responsables del registro pueden impedir a los atacantes alojar datos en él.

Con cada hora de vida de una nueva página, esta va apareciendo en más bases de datos antiphishing, lo que implica que un menor número de posibles víctimas la visitarán. Ya que el ciclo de vida de este tipo de páginas es tan corto, los atacantes tienen interés en distribuir los enlaces a las páginas de phishing lo más rápido posible desde su creación, para asegurar el mayor alcance posible entre las víctimas durante las primeras horas, mientras sus páginas aún están activas.

Por lo general, los atacantes optan por crear una nueva página en lugar de modificar una ya existente. En este sentido, en muy pocas ocasiones los phishers pueden cambiar la página para evitar ser bloqueados. Por ejemplo, si los estafadores utilizan una marca como cebo, pueden cambiarla por otra. Sin embargo, la mayoría de las páginas simplemente se bloquean en el momento en que los ciberdelincuentes deciden cambiar la forma de actividad. No obstante, existe otro método, el de crear elementos de código generados aleatoriamente que no sean visibles para el usuario, pero que impidan que los motores antiphishing los bloqueen durante un tiempo indeterminado. A pesar de ello, existen motores antiphishing como el de Kaspersky que esquivan eficazmente estos trucos.

"Esta investigación no solamente es útil para actualizar nuestras bases de datos, sino también para mejorar la respuesta a los incidentes. Por ejemplo, si una empresa sufre un ataque de spam con enlaces falsos, conviene rechazarlo en las primeras horas, ya que es el momento en que la actividad de los phishers se ve más beneficiada. A su vez, es importante que los usuarios recuerden que cuando les llega un enlace y tienen dudas sobre la legitimidad del sitio, es aconsejable que esperen unas horas. Durante ese tiempo, no solo aumentará la probabilidad de que el enlace aparezca en las bases de datos antiphishing, sino que la propia página de phishing detenga su actividad. El usuario puede estar seguro de que está bien protegido, ya que además de detectar el ataque de phishing, también investigamos para mejorar la forma de repeler este tipo de ataques", señala Egor Bubnov, investigador de seguridad en Kaspersky.

Con el objetivo de que los usuarios no se conviertan en víctimas de este tipo de estafas, Kaspersky recomienda lo siguiente:

• No conectarse a banca online y servicios de este tipo a través de redes Wi-Fi públicas. Las redes públicas pueden ser creadas por delincuentes que, en ocasiones, falsifican las direcciones de las páginas web y las redirigen a una falsa.
• Algunas veces los correos electrónicos y las páginas web se parecen mucho a las reales. Sin embargo, los enlaces serán casi con toda seguridad incorrectos, incluirán faltas de ortografía, o redirigirán a un sitio diferente.
• La práctica más segura es introducir el nombre de usuario y la contraseña únicamente a través de una conexión protegida. Incluso el prefijo HTTPS no siempre es un indicador de que la conexión a la web es segura, ya que los estafadores pueden emitir un certificado SSL.
• Instalar una solución de seguridad de confianza como Kaspersky Internet Security y seguir todas sus recomendaciones. Este tipo de soluciones de seguridad resuelven la mayoría de problemas de forma automática y alertan al usuario si es necesario.

A las empresas, Kaspersky recomienda los siguientes consejos:

• Ofrecer a sus empleados una formación básica sobre ciberseguridad. Se puede simular un ataque de phishing para asegurarse de que saben distinguir los correos electrónicos de phishing.
• Utilizar una solución para endpoints y servidores de email con funciones contra el phishing como Kaspersky Endpoint Security for Business, y así reducir la posibilidad de infección a través de un correo electrónico de phishing.
• Proteger el servicio en la nube de Microsoft 365 en caso de que se utilice. Kaspersky Security para Microsoft Office 365 cuenta con un sistema dedicado a la lucha contra el spam y el phishing, así como para la protección de SharePoint, Teams y OneDrive para garantizar la seguridad de las comunicaciones empresariales.

Puedes consultar el informe completo sobre el ciclo de vida de las páginas web de phishing en Securelist.

Origen