Mi espacio utópico y catártico

correos falsos

Correo BBVA falso (phishing)

Otro caso mediocre de phishing.

El correo llega con el asunto:

“07/07/11 -Estimado cliente, favor de realizar el proceso de verificacion para evitar una futura perdida de datos.”

Desde la dirección Bancomer.com <notificacionbcom@serviciobancomer.com>

Desde ahí ya podemos sospechar que es un engaño dada la dirección del remitente que hasta eso, se rompieron la cabeza pensando en una dirección de remitente. El remitente real es nobody@tank.rack25.net fácilmente identificable al leer el encabezado del correo. El rastreo de la IP de la fuente nos lleva hasta España, para ser más preciso Madrid. ¿Será que allá está el servicio a cliente de Bancomer México? 😉

El contenido del correo es el siguiente:

 

Puede engañar a más de uno, parece el contenido de un correo válido de Bancomer. Sin embargo, al colocar el cursor sobre la dirección supuesta de http://www.Bancomer.com que, por cierto, no debería tener el Bancomer en mayúsculas por simple convención de la gente de sistemas , nos encontramos con una dirección que no tiene nada que ver con Bancomer:

http://xxxxxxxxxxxx.mx/hdznava/100023.html que, aunque el dominio es mexicano, se encuentra en Estados Unidos

Lo único que hace esta página es redireccionar a otra en otro dominio que también está en Estados Unidos

 

Si vemos a dónde nos  lleva en la barra de direcciones notaremos que no tiene nada qué ver con Bancomer. Si hacemos clic en cualquiera de las ligas no llevan a ninguna parte. Las ligas están rotas. Ni siquiera se tomaron la molestia de ligar a la página real de Bancomer.

Ya te imaginas que pasa si introduces tu número de tarjeta y tus claves: Le estás facilitando a un delincuente el acceso a tu cuenta.

 

Ya que colocaste todas tus claves, la página se tarda convenientemente un par de minutos en responder, dándole tiempo para revisar tu cuenta y hacer operaciones fraudulentas.

¿Cómo identificar el  phishing?

1. El contar con un antivirus de verdad ayuda mucho. De verdad me refiero a comprar uno no esas versiones “lite” que puedes descargar gratis, porque eso es precisamente lo que vas a obtener: un antivirus gratis con protección gratis. Aunque hasta el mejor antivirus es falible, aquí con todo y mi antivirus pude abrir el sitio y en el correo sólo me dio una advertencia respecto a las imágenes adjuntas.

2. Verificar el remitente de los correos que te llegan de instituciones bancarias o de cuentas tipo PayPal, Amazon, etc. La dirección debe tener sentido bancomer.com, paypal, amazon, etc. Esto es fácilmente truqueable, pero por lo menos es una pista. Si te es posible, revisa el encabezado del correo, ahí te indica exactamente de dónde viene el correo, en este caso, aunque decía que el correo era de notificacionbcom@serviciobancomer.com el remitente real era nobody@tank.rack25.net. 

3. Verificar las ligas dentro del correo. Éstas aunque muestren una dirección en el texto, al colocar el cursor sobre ellas, se muestra el destino real. Deben apuntar a un dominio que te haga sentido o que conozcas ya. Por ejemplo, esta liga dice www.microsoft.com pero si das clic en ella te lleva a Apple 😉

4. Al entrar a un sitio web donde debas introducir tu usuario y contraseña, revisa que la dirección empiece con https y no sólo con http. Esto quiere decir que estás entrando a un sitio que debió verificar su identidad para poder emitir esa “s” en su dirección, además de que toda la información que entra y sale de esa página, se encuentra cifrada, es decir, viaja en clave y no en claro.

5. Usa el sentido común. Todo el conocimiento y antivirus del mundo pueden ser confundidos o inahbilitados, pero tu sentido común ayuda a librarte de situaciones potenciales de robo de información.

Abur


Facebook Account Update – Correo Falso

Desde hace unas semanas está llegando un correo en inglés alegando ser de Facebook.

091028FBFraud01

El texto se traduce así:

“Querido usuario de Facebook, en un esfuerzo de hacer tu experiencia en línea más segura y disfrutable, Facebook estará implementando un sistema de firmado que afectará a todos los usuarios de Facebook. Estos cambios ofrecen nuevas características y un aumento en la seguridad de tu cuenta.

Antes de que uses el nuevo sistema, necesitamos que actualices tu cuenta. Haz clic aquí para actualizar tu cuenta en línea.

Bla bla bla”

Donde haces clic te lleva a una URL que empieza con http://www.facebook.com.xxx…. lo que sigues después de las xxx es un dominio que no tiene nada que ver con Facebook.

Pistas de que es un correo falso

– El correo evidentemente no llega de Facebook aunque el remitente eso indica “Facebook [update+yhlemnuad@facebookmail.com]” (1) Qué dominio es ese de facebookmail.com, pero quién no está metido en estos rollos, le puede parecer correcto.

– Sin embargo, revisando el encabezado del correo – generalmente oculto – se aprecia que de donde llega el correo es de un dominio en rusia slamdunk.ru (2) pocos tenemos activo el visualizar el encabezado completo del correo, pero para quién lo tenga, tiene el segundo elemento de sospecha: ¿porqué llega de Rusia y no de Estados Unidos?

– Si navegas por el famoso e infame Internet Explorer en cualquiera de sus sabores podrás, como ha sido costumbre, entrar sin problemas al sitio fraudulento. Éste se presenta prácticamente igual a la ventana de login del Facebook real.

091028FBFraud02

En el campo de e-mail, coloca tu correo en automático. Tal vez te llegó a hotmail y tu cuenta de Facebook la diste de alta en Gmail, (3) otro punto para sospechar.

Cada link distinto al botón login, te lleva al sitio real de Facebook.

– Un medio punto a favor de Internet Explorer 8 es, que resalta la parte del dominio que sale de lo común

091028FBFraud03

Por lo menos ahí también podría hacerte sospechar. (4) Todas las direcciones de facebook, incluyendo las aplicaciones tienen una “/” después del “.com”

Si pones cualquier contraseña, evidentemente se va a almacenar y se la va a mandar algún bastardo en rusia o en otro lugar. Pero sí pones tus datos correctos para firmarte en facebook, seguramente tu cuenta se usará para mandar spam. 😦

091028FBFraud04

– Al final te presenta esta página donde te reiteran la “jalada” de la seguridad y te piden que descargues la súper herramienta “updatetool.exe” (5) Si todo el sistema de Facebook se basa en Web, permitiéndote acceder desde dispositivos múltiples, ¿porqué tienes que bajar este programa? ¿Qué pasa cuando trate de entrar por mi teléfono? Raro ¿’no?

Si no cuentas con antivirus seguro lo ejecutas y tendrías en tu computadora un HEUR:Trojan.Win32.Generic 😦

Nuevamente, la mejor forma de protegernos contra fraudes es informarnos.

Gracias por leer esta entrada 🙂

R@U

Short link para esta entrada: http://wp.me/pc17m-bt

Actualización 5 de Noviembre 2009

Estos correos están llegando con diversos Asuntos y Remitentes:

De: Your Facebook Support
Asunto: Facebook Password Reset Confirmation. Customer Message.

Éste llega con un archivo zip adjunto “Facebook_details_0d7df.zip” adentro del zip se encuentra el ejecutable “Facebook_details_0d7df.exe” el cual tiene el troyano.


Update for Microsoft Outlook – Correo falso

Hoy me llegó un correo que ya había sido enviado meses atrás indicando de una actualización para Outlook y Outlook express. Le dabas clic a un link que podría parecer de Microsoft y te llevaba a descargar un troyano espía. Así es como se ve el correo

091022OutlookScamS

Aunque para los que estamos metidos en la computadora varias horas al día es ridícula una actualización para ambos Outlook al mismo tiempo, para una usuario común no lo es.

Al seguir la liga a eso de las 10AM, noté que Firefox la tenía ya reportada como falsa 🙂

091022Firefox

Pero Internet Explorer 8 aún con su famoso filtrado “SmartScreen” te deja entrar y si lo obligas a comprobarlo te dice que no notificó amenzas 😦 Así que “aguas!”

091022IE

Finalmente si de plano tienes mala suerte, no viste este post, llegas a descargar el archivo, si cuentas con Kaspersky Internet Security 2009 u otro antivirus de “verdad” 😉 será detectado de inmediato sin dejarte si quiera guardarlo en tu disco duro.

091022KIS2009

Los productos de Kaspersky los puedes descargar de este liga

ftp://ftp.kaspersky.com/products/spanish_latam/homeuser/

KAV es para el Antivirus y KIS para el Internet Security

Es importante mencionar que aún con antivirus, es posible que el programa, sitio o código malicioso pueda infectar tu equipo. La mejor arma para estas situaciones es el conocimiento y el sentido común. Antes de descargar algo y ejecutarlo en tu computadora, detente un momento a revisar la dirección de donde proviene, infórmate en medios como éste si es que alguien ha tenido alguna experiencia al respecto y finalmente decide que es lo más seguro.

Buen casi fin de semana


Actualización de Outlook – Correo falso

Ha estado llegando un correo que supuestamente es enviado por Microsoft solicitando se instale una actualización crítica de Outlook. Puede hacernos pensar que es genuino pero aquí vienen los detalles que si nos detenemos un momento y lo pensamos otra vez, nos ayudará a identificar su origen y verdadero objetivo: infectar nuestro equipo.

090624OutlookFraud

1. ¿Para qué enviaría Microsoft un correo si Windows XP y Vista en todas sus versiones cuentan con las actualizaciones automáticas? Y si piensas que tú no necesitas usarl Windows Update, hay algunas, como el Microsoft Windows Genuine Advantage, que te aparecen quieras o no.

Este mensaje de supuesta alerta está de más.

2.Hay scripts y APIs que permiten identificar el idioma en el que está instalado tu sistema operativo y algunas aplicaciones para que las páginas Web se despliguen en tu idioma. ¿Porqué a las personas de habla hispana, con direcciones de correo en dominios .mx – evidentemente mexicanos -, con IPs en México, les llega el correo en inglés? ¿Podría ser un error y mandaron un sólo correo en inglés a tooodo el mundo? Es poco probable.

3. El correo afirma que la actualización aplica para sistemas operativos desde Windows 98, pasando por Windows Server 2003, hasta Windows Vista. Windows Vista sustituye Outlook Express por Windows Mail. La plataforma Server es una plataforma distinta a las demás versiones de Windows, especialmente lo que se refiere a seguridad de Internet. No podría aplicar un sólo archivo de 81KB para todas las versions de Windows. En absoluto este correo es real.

4. Si colocas el puntero sobre la dirección, aparece el “tooltip” indicando la dirección real a la que te debería de mandar la liga. ¿Qué es eso de killlik.net? Nada que ver con Microsoft.

5. Como se ha visto de un tiempo para acá, contratan servicios desde Alemania para generar los códigos, aplicaciones y en este caso el correo y el sitio donde se hospeda la aplicación maliciosa. El remitente no es Microsoft Customer Support [no-reply@microsoft.com] sino bucketed6@seidel-training.de

Ayer todavía no era detectado o reportado a Microsoft o a los sitios de antivirus y navegación segura. El día de hoy Firefox ya te presenta una advertencia respecto al sitio al que vas a entrar para descargar la supuesta actualización de Outlook.

090624OutlookFraudFirefoxWarn

Hay que ser más suspicaces cada vez. Saludos

Actualización 26 Junio 2009

Como ya les bloquearon el dominio anterior me supongo que seguirá llegando el correo con distintas direcciones para descargar el archivo con un Troyano. Esta es la pantalla que aparece si uno hace click en la liga

090626OutlookFraudDn

Cuidado! A las 8:30AM del día de hoy, 4 antivirus aún no lo identifican como tal.

A las 9:00 AM kaspersky Labs lo identifica como Trojan-Dropper.Win32.Zbot.h

Saludos


Alumno del colegio alemán desaparecido – correo falso

ChavitoUn amable lector me envió este correo preguntando si éste es real o falso.

El texto en el mismo es el siguiente:

Pasen el mensaje por favor!!!!!

Este es el mensaje de una madre desesperada… pasa la foto a todos tus contactos

¿Dónde estás Agustín?
Mi hijo tiene 12 años, Agustín Martin, está desaparecido desde hace casi un mes. Puede ocurrir que si todos pasan este mensaje, alguna persona lo reconocerá. Se han encontrado personas con este método. Internet circula por todo el mundo… Por favor, pasa este mensaje a todos tus contactos. Gracias a todos ustedes podré encontrar a mi niño.
Les pido a todos, les suplico a todos, por favor pasa esta imagen a todas las personas posibles. Todavía no es tarde POR FAVOR, AYÚDAME. Si tienes información, contacta con:
todosporagustin@hotmail.com Solo hacen falta 2 minutos para hacer circular el mensaje. Si se tratase de tu hijo(a) harías lo imposible por obtener ayuda.

Laly Gómez
Dpto de Cirugía, Ginecología y Obstetricia
Facultad de Medicina
U. Zaragoza Tfno 976761734

Sin realizar investigación alguna, el correo da signos inequívocos de ser falso:

– La foto es de pésima calidad y además sólo incluye una. Cualquier mamá enviaría un par de fotos, al menos, de cuerpo completo y donde su hijo se viera perfectamente cómo es.

– No da referencias del niño: edad, altura, complexión, razgos de identidad, dónde y cuándo se perdió; nada.

– El teléfono es efectivamente de la Universidad de Zaragoza, pero la supuesta Laly Gómez se encuentra en el Dpto. de Cirugía, Ginecología y Obstetricia??? Es universidad o es hospital? Porqué no dar el teléfono móvil o su casa.

– El correo también se ve algo sospechoso. No debería de ser @hotmail.es?

– No da información de agencia alguna que busque al niño y además missing children no lo menciona.

Conclusión

El correo es un hoax

Saludos


Gana el Doble de tiempo Aire al Recargar este mes de Mayo‏ – Correo falso

La misma jalada de pelo del post de Wolverine pero ahora buscando que caiga la gente con la oferta del “Doble de tiempo”

090514Telcel

Al hacer clic sobre el sitio lleva a una direción que hospeda una página muy similar en diseño a la actual de Telcel pero que es, sin lugar a dudas, falsa. El incauto que introduzca su información ahí,será robado y quién sabe qué más. Es triste como en tiempos de crisis, en vez de usar el ingenio para ayudar y que el común de la gente esté mejor, se busca aprovecharse y joder más. Al final, tanto el ayudar como el joder, afectarán a todos. ¿Porqué no ayudan? Son entidades que ni vale la pena analizar… patéticas.

Cómo identificar un sitio seguro? Sea el de Telcel o cualquier otro donde pidan datos personales.

1. Las direcciones empieza con https (HyperText Transfer Protocol Secure)

090514https

2. Si es así, también existirá un certificado digital que aparece en forma de candado en la barra de estado inferior. En el Internet Explorer 7 y 8 aparece a la derecha de la dirección Web. (URL)

090514DC

3. La dirección tiene que ver con el sitio. Si es Telcel, evidentemente va a ser http://www.telcel.com y así. No algo como secure.freeghosting.telcel.com

4. Los sitios seguros cuentan con una entidad certificadora que te asegura que el sitio es quien dice ser, en este ejemplo, al hacer clic en el candado, aparece el certificado de PayPal. En el caso de Telcel, debe aparecer el de Telcel.

Con estos enemigos dentro del mismo país y con la gente sin preocuparse por aprender, México seguirá siendo del tercer mundo.

Abur


Oferta Telcel con portada Wolverine orígenes – correo falso

El nuevo correo que busca captar incautos que busquen recargar en línea su cuenta de amigo Kit llega con el título:

Ganáte 150 pesos de Tiempo Aire Gratis al Recargar tu AmigoKit de Telcel con 50 pesos

El remitente declarado es: Recargas Telcel | Promoción X-Men Orígenes Wolverine

Supuestamente de: info@hi5.com

Pero el remitente real es: nobody@hosting.viva.net.do para cubrir la identidad

La portada trae la siguiente imagen claramente editada de alguna promoción de cine.

090419telcelwolverine1e

Al hacer clic en la imagen te lleva a un sitio que bien podría parecer el de Telcel. Usaron las mismas imágenes del sitio y además colocaron los sellos de “seguridad” que obviamente, al hacer clic sobre ellos no aparece nada. Y debería aparecer la información del certificado de seguridad.

090419telcelwolverine2e

– Algunos links tienen todavía las ligas a otro posible fruade impersonando a las tiendas Viana. Ya que el link indica un sitio cuyo dominio tiene las palabras viana-tiendas-de-descuento.

– En el URL (dirección) hace falta la “s” del protocolo de seguridad https y por ende VeriSign ahí sale sobrando porque no hay certificado de seguridad al ser una dirección sin SSL.

Como se notará, si alguien tiene la desgracia de meter ahí sus datos, les estará dejando:
Nombre, celular, dirección y la información de su tarjeta de crédito. Con estos datos pueden hacer compras por Internet y en establecimientos fuera de línea hasta agotar por completo el crédito de la tarjeta. Y con la inseguridad citadina en la que nos deja el mediocre gobierno del D.F., la susceptibilidad de que también realicen extorsiones teléfónicas y directo a tu celular.

Nunca hay que dejar de preguntarse si el sitio al que entramos es seguro o no.

– El filtro de suplantación de identidad tanto del Internet Explorer 6.5, el 7 y el 8 ni se quejaron. Desafortunadamente tampoco el Internet Security de Kaspersky.

Estos los detectan hasta que alguien tiene a bien reportar el sitio y luego que lo investiguen y verifiquen. Finalmente que actualicen la base de datos con la que se verifica la autenticidad del sitio.

No es que no nos protejan bien, pero no lo pueden hacer durante los primeros minutos u horas en los que aparece la amenaza.

Tanta gente en problemas económicos y esta gente, en vez de buscar con su ingenio algo para salir y ayudar, busca el hundir más a la gente y por ende al pási y a ellos mismos… nadie piensa en el todo, pensar en lo particular no funciona… no existe además. Lo que uno hace afecta a muchos, para bien o para mal.

Abur

Actualización aquí (Mayo 200)