Analisis del Correo: Irregularidades encontradas en su NIT Fiscal (Phishing)

Desde hace unos cuantos dias el correo con Subject: Irregularidades encontradas en su NIT Fiscal, ha estado llegando a muchas bandejas de entrada de muchos buzones de correos de los salvadoreños y salvadoreñas.

Este, hace referencia a un mail proveniente aparentemente del Ministerio de Hacienda de El Salvador.
Por que lo de aparentemente?

Veamos, el remitente del correo es asistencia.dgii@mh.gob que a simple vista es de una de las tantas dependencias del Ministerio de Hacienda,  el dominio del remitente del correo es mh.gob, que no es el mismo que el dominio oficial del mh.gob.sv.
Exacto el sub dominio SV hace la "pequeña gran diferencia".
Tambien he podido ver que el remitente sea mh.gov.sv, de la misma forma es diferente al dominio del que es propietario dicha entidad.

Entrando al cuerpo del mensaje, podemos observar que lleva una advertencia sobre la declaracion del impuesto sobre la renta de la posible victima.

Ya en la parte inferior ofrecen dos enlaces en los cuales el usuario puede consultar su declaracion para poder realizar la correcion de su problema.

Estos enlaces redirigen a un conocidio share file, como lo es mega.co.nz

Ya dentro del sitio de almacenamiento de archivos podemos encontrar un archivo .RAR con un nombre muy sugestivo y creible, que nos puede convencer de que todo el aparataje montado es verdadero
.

Al descargar este archivo al equipo de la posible victima es muy probable que su antivirus no lo detecte pues va encapsulado en unarchivo .RAR y no todos los antivirus tienen la capacidad de analizar tan profundamente este tipo de amenazas.

Una vez descargado el archivo podemos ver algo muy curioso, el nombre del archivo tiene una extension .PDF pero si usted tiene la vista de los archivos tipo detalles, el Sistema Operativo identifica el archivo como un archivo tipo Scree Saver. Desde ahi podemos decir que ya no tiene logica este procedimiento.

Obviamente al hacer doble clic sobre el, se ejecuta el malware que maliciosamente ha sido oculto en este archivo.

A todo este metodo de engaño se le denomina: PHISHING o Suplantacion de Identidad y hacen que creamos que la forma en que nos envian un archivo adjunto provenga de un remitente confiable, en este caso el Ministerio de Hacienda.

En mi caso, al trabajar con todas las herramientas de McAfee (muy pronto Intel Security, pues fue comprado por INTEL) no podia quedarme hasta aca, y les comento lo siguiente:

El Virus Scan Enterprise de McAfee si detecto el archivo como una amenaza, solo que no lo puede identificar como un virus determinado.

Entonces, para estos casos hay una herramienta gratuita llamada GetSusp (GET SUSPICIOUS) y puede ser descargada de:
http://getsusp.mcafee.com/
y pueden ver como usarla en:
http://www.mcafee.com/us/downloads/free-tools/how-to-use-getsusp.aspx

Esta herramienta realiza un escaneo en su equipo tratando de obtener muestras de posibles amenazas o archivos sospechosos y los resultados son enviados de forma automatica a McAfee Labs para su analisis.

Pero eso no se queda hasta ahi, si el archivo no es identificado como un virus determinado, como en el caso de este, McAfee realiza un analisis exhautivo e incluso puede generar un Extra DAT (Vacuna o Archivo de Firmas) especifico para la amenaza presentada.

Este fue el caso para la muestra que subi de este archivo:

Se genero un Extra DAT y antes de las proximas 48 horas iba a ser añadido a las firmas globales para que fuera enviado de forma automatica a todos los usuarios de la suite McAfee.

Asi que si son usuarios del VirusScan de McAfee esten seguros que SI, estan protegidos.

Cualquier duda, consulta o comentario, siempre será un gusto.

Oscar Sanabria