Recarga de Amigo Telcel en línea – Correo falso

Ahora llegó un correo que clama ser de Telcel y que, para no variar, busca robar los datos de tarjeta de crédito de aquellos que caigan. La información del mismo a continuación: Título: Obtén más Tiempo Aire Gratis todo diciembre solo con AmigoKit. Remitente: Recargas Telcel <info@hi5.com> Telcel Scam Como siempre, a primera vista nos podría engañar, pero tiene esos “pequeños detalles” que a los escépticos nos  hacen dudar. 1. La tipografía. Telcel no utiliza en sus correos este tipo de fuente. Le da un aire de esos anuncios que contratan los  distribuidores y terceros que, sin ser Telcel, venden planes, teléfonos y accesorios. En este caso, Telcel sería la única entidad que enviaría un correo clamando la recarga de AmigoKit en línea. 2. El logo de VeriSign. Aunque cada vez son más los que están tomando precauciones al hacer transacciones en línea, no todos están familiarizados con las entidades certificadoras en Internet como lo es VeriSign. Luego entonces, se ve muy extraño que  el logo se encuentre directamente en la imagen de la publicidad. Además de que el logo es el anterior. 3. La leyenda “Aceptamos tarjetas de crédito y débito” Ésta sale sobrando. Suena así como localito de Plaza de la Computación. “¡Pásele! ¿Qué está buscando? ¡Aceptamos tarjeta de crédito!” 4. Los logotipos de Visa y Mastercard. Sin proporción y de mala calidad. ¿Y qué pasa con American Express? Fue vetado de Telcel? En la parte más detallada es más evidente que se trata de un intento de fraude mediocre. 1. El remitente es info@hi5.com???? Qué tiene que ver Hi5, la red social chafona y que busca desesperadamente parecerse a  Facebook o MySpace? Además de que revisando el encabezado del correo el remitente real es root@sh-b9.dca2.superb.net. Éste proviene de una cuenta contratada en la empresa superwebhosting en Estados Unidos. 2. El código fuente indica que la imagen se encuentra colgada en un servidor gratuito público de imágenes: Tynipic. 3. El encabezado contiene la sentencia X-PHP script indicando la proveniencia del script con el que se generó y enviaron los correos. Al hacer clic sobre la imagen ésta lleva a un sitio simulando ser el de Telcel, pero que no tiene nada que ver con Telcel. 121408telcel022Los “pequeños detalles”: 1.  El encabezado despliega el logo de “Ideas Telcel” ¿Pues qué no es para Amigo? 2. Tiene también el logo anterior de VeriSign. 3. El sitio no tiene nada que ver con el diseño del sitio real de Telcel (colores, disposición de liga, imagen corporativa, etc.) El sitio real de Telcel en la parte de amigo kit se ve así 121408-telcel En el URL hace falta la “s” del protocolo de seguridad https y por ende VeriSign ahí sale sobrando porque no hay certificado de seguridad al ser una dirección sin SSL. Como se notará, si alguien tiene la desgracia de meter ahí sus datos, les estará dejando: Nombre, celular, dirección y la información de su tarjeta de crédito. Con estos datos pueden hacer compras por Internet y en establecimientos fuera de línea hasta agotar por completo el crédito de la tarjeta. Y con la inseguridad citadina en la que nos deja el mediocre gobierno del D.F., la susceptibilidad de que también realicen extorsiones teléfónicas y directo a tu celular. Entiendo que la situación económica obligue a las personas a buscar medios alternativos de ingresos, pero nunca te debe empujar a cometer estos engaños en los que el mucho o poco patrimonio de una familia, se ve comprometido. No han de creer en el Karma… En fin… mucho cuidado que esta “pseudo” gente anda suelta.

Actualización aquí (Abril 2009)

Circula video de avionazo (El Universal) – Correo falso

Aprovechando el “accidente” que tuvo el LearJet el 4 de Noviembre en la Ciudad de México, hoy llega un correo nuevamente falso, buscando explotar el morbo o la curiosidad del receptor. El remitente supuestamente es el diario mexicano El Universal. Pero realmente llega de otra fuente que nada tiene que ver con él.

El Universal (falso)

El texto mal redactado y sin ortografía – primer indicio que te hará pensar: “ésto no viene de El Universal” – reza así:

Circula por la web video captando el momento del avionazo en el que Fallece el Secretario de Gobernación de México
El dia lunes 10 de noviembre, un espectador presenta grabación donde se muestran imagenes precisas del descenso y colapso de la aeronave en la que viajaba el secretario de gobernacion Juan Camilo Mouriño, acompañado del ex titular de la SIEDO José Luis Santiago Vasconcelos y otros funcionarios; tal catastrofe ocurre a escasos metros de Periférico y Paseo de Reforma.
Se estima que gracias a esta grabación el trabajo de Peritos y Forenses internacionales se facilite y lleguen a una conclusión en los proximos días.
Ver video.

El link ver video lleva a un servidor que para nada es de El Universal y para no variar aparece una página que a todas luces es falsa pero que podría engañar a más de un despistado o persona que podría estar empezando a hacer uso del Internet y las computadoras.

Video Falso_Una página completamente negra con solamente el control del video y que aparece con la leyenda “loading”.

Otra evidencia que nada tiene que ver con el periódico El Universal.

Si nos fijamos en la dirección, estamos entrando a un sitio donde, si dejamos que suceda, nos descargará un archivo ejecutable (terminación .exe) que al presentarse directamente en la dirección – no mostrada por obvias razones – nuestro navegador intentará reproducir en nuestros equipos.

Después de un segundo aparecerá el ya típico diálogo emulando la que nos aparecería si necesitáramos actualizar nuestra versión de flash.

Diálogo Falso de Flash

Me supongo que han de ser los mismos tipos ya que es igual al que aparece siempre que te quieren engañar con eso de la versión del Flash.

Si no cuentas con un buen antivirus o suite de seguridad, el diálogo no te dejará hacer nada sino hasta que presiones el botón “Ok”

sds

Necesitarías apretar la combinación mágica (a veces no funciona cuando algún malware nos infectó y desactiva o el programa o la combinación) Alt + Ctrl + Del para invocar al Administrador de tareas.

Task Manager Haces clic en la pestaña “Procesos” y seleccionas el proceso que te suene como al nombre de tu navegador.

Luego presionas el botón “Terminar proceso” para poder salir de él.

En el caso de Kaspersky IS 2009 aparece de inmediato el bloqueo del ejecutable y el mensaje de que el sitio está infectado con Heur.Trojan.Generic.

Para algunos puede parecernos evidente que es un fraude donde seguramente buscarán infectar nuestro equipo con algún malware, pero para otras personas, no.

Espero les sea de ayuda.

Saludos

Frustrado el atentado al presidente Felipe Calderon – Correo falso

Otro correo más con un troyano. Después de haber recibido, con éste, 3 correos que direccionaban a una página de CNN y notando como iban evolucionando. Desde un sitio mediocre hasta uno, más o menos creíble y bien hecho, llega éste con remitente falso como si lo enviara el periódico mexicano “El Universal”

Al hacer clic en cualquiera de las ligas del mismo ya ni siquiera abre un sitio que parezca de CNN. Simplemente abre una ventana de descarga donde un archivo ejecutable con el nombre “Video Testigo.exe” es detectado oportunamente por el Kaspersky Internet Security como un

Trojan-Dropper.Win32.VB.dvf

Cabe mencionar que dicho Troyano sólo consitutye una amenaza para la plataforma Windows, quedando exentas Mac y Linux que podrian ser las plataformas de más uso después del sistema de Microsoft.

Saludos

CNN Top 10 / Alerts – Correo falso

Hoy me llegaron dos correos con imágenes exactamente iguales que parecían ser los correos que envía CNN denominados “The daily top 10”.

La primera parte que está sombreada en azul apunta al mismo sitio en cada correo. Es decir, cualquier liga a la que se le dé clic lleva al mismo lugar.

Sin embargo, cada correo apunta a distintos dominios.

La segunda parte apunta al sitio real de CNN en Estados Unidos a su respectiva liga:

– Privacy guidelines

– Contact us

– Manage settings

Al sitio que llevan las ligas falsas. Muestran una página con fondo negro y un logo mal colocado de CNN donde supuestamente se reproduciría un video.

Pero inmediatamente aparece una ventana que emula una ventana que podría desplegar el reproductor de Flash solicitando se actualice la versión para poder reproducir el video.

Esa actualización de Flash no es tal sino un troyano:

Trojan-Downloader.JS.Psyme.ake

Si uno no acepta la descarga vuelve a aparecer una ventana, esta vez de JavaScript con el mensaje:

“You need to download proper Codec to play this movie. Click ‘OK’ to start download.”

Presionas cancelar y luego aparece el mensaje

“Please install proper Codec.”

Regresando al mensaje original que finalmente obliga o a cerrar la ventana o a cerrar el navegador ya que no deja hacer nada más.

Otro mensaje que llegó el día de hoy es también de CNN pero es sólo un mail alert. En él sólo la liga que es de la historia completa “Full Story” es la que lleva al sitio falso que busca descargar el Troyano (Trojan-Downloader.Win32.Exchanger.la) y esta vez está en Rusia.

Aquí ya se empeñaron un poquito más en poner el fondo blanco para que el logo se viera mejor y una cantidad considerable de links y rellenos maquillados para hacerlo parecer más real. Lo que parece sin lugar a dudas más real es la Pop-up que indica que la versión de Flash es incorrecta.

En el caso del navegador que uso: Opera, la ventana de JavaScript tiene una opción donde uno puede desactivar la ejecución de los Scripts para casos como éste donde el sitio es fraudulento o cuando está mal programado.

Nuevamente, Kaspersky Internet Security 2009, frenó el ataque en su módulo “Web Traffic” e indicó  oportunamente la presencia del Troyano.

Aquí lo puedes descargar

Saludos

Tarjeta Metropostal – Correo falso

null

Agotados los recursos de Gusanito, NIX y otros ahora recurrieron a Metropostal.

Te llega un correo con una pantalla similar a la que aparece aquí. El texto, evidentemente escrito al “aventón” dice:

“Una perona especia te ha enviado…”

O sea que una perrona especie te ha enviado una postal?

Si se hace clic en el vínculo, no te lleva a la dirección que aparece debajo y supuestamente te llevaría a la susodicha postal. Te envía a un sitio mal hecho y mediocre con un contador donde te pide que descargues la última actualización del “Macromedia Flash Player”

Macromedia???? Debería ser Adobe Flash Player y esto ya no sucede, si no tienes las versiones 7 en adelante, ni siquiera tienes que ir al sitio a descargarlo, la página te redirecciona automáticamente o en su defecto se autoinstala sin que tú tengas que salir del sitio donde se encuentra tu animación. Evidentemente es falso.

Supuesta descarga de flash
Supuesta descarga de flash

El supuesto archivo que sale de aquí es  “InstallFlashPv9.3.exe”

Pero internamente el archivo es un proyecto de nombre “best.exe”

Sin firma digital,  sin identificadores del fabricante. Nada.

Así como ayer, estoy esperando el diagnóstico del laboratorio antivirus para saber qué es lo que tiene dentro. Aunque la evidencia hasta ahora, apunta a que seguramente, si lo abres, te encontrarás con un troyano.

El reporte indica que el archivo contiene un Trojan-Downloader.Win32.Exchanger.fd

De aquí puedes bajar herramientas para quitarlos
http://www.kaspersky.com/removaltools

Y de aquí la versión de prueba completamente de la aplicación que yo tengo (Kaspersky Internet Security 2010) completamente funcional. Selecciona licencia de prueba cuando lo instales y te dará 30 días de licencia.

ftp://ftp.kaspersky.com/products/spanish/homeuser/kis2010/kis9.0.0.736es.exe

Suerte