Una nueva campaña de phishing, detectada en septiembre, muestra una mayor sofisticación por parte de los operadores, que se hacen cargo de las cuentas de correo electrónico e insertan un troyano bancario en los hilos de conversación.
El programa malicioso surge de las respuestas a las discusiones existentes, un poderoso enfoque de ingeniería social que puede garantizar un alto índice de éxito, porque se basa en el contexto familiar en el que la víctima ya confía.
El señuelo para la instalación del malware, es un documento adjunto que, una vez lanzado, genera una rutina para recuperar la última versión del malware Ursnif. Sólo funciona en sistemas con Windows Vista y superior, y evita máquinas con localizaciones rusas ó chinas.
Aunque las respuestas maliciosas provienen de alguien conocido de la víctima, hay señales de alerta que deberían hacerlos parecer sospechosos: cambio repentino de idioma del francés al inglés, generosidad del mensaje, o una firma de apariencia extraña al final del mensaje.
Una inspección más profunda del correo electrónico, revela que no hay falsificación de las cabeceras «return-path» o «reply-to». En cambio, la víctima enviaría las respuestas a la cuenta original, sugiriendo que el actor de la amenaza puede acceder a ella.
Los investigadores de seguridad de Trend Micro, creen que las respuestas maliciosas proceden de Estados Unidos, y descubrieron que en septiembre se enviaron muchos mensajes desde varias cuentas del mismo host. «Lo que podemos asumir de las cabeceras es que el atacante de alguna manera se ha apoderado de una cuenta auténtica y está usando esta cuenta para la estafa del tipo BEC», escribieron en un informe.