Suplantar a organismos públicos como la DGT es algo que, tradicionalmente les ha funcionado muy bien a los delincuentes y en estas fechas, con tantos desplazamientos por nuestras carreteras con motivo de las vacaciones de verano no es de extrañar que vuelvan a utilizar esta estrategia para intentar captar a nuevas víctimas. Así pues, no es de extrañar la detección de un email reciente que nos avisa de supuestas infracciones de tráfico asociadas al vehículo que tenemos a nuestro nombre.

En este email (a pesar de verse claramente que se envía desde un remitente que no tiene nada que ver con el organismo por el que se hace pasar) se suplanta la identidad de la Dirección General de Tráfico y se nos proporcionan varios enlaces donde, supuestamente, se nos permite descargar la aplicación oficial de la DGT, acceder a la web o ver las infracciones que se nos atribuyen. Sin embargo, todos estos enlaces nos llevan a la misma URL preparada por los atacantes para simular la descarga de un documento, documento que no se puede previsualizar y, por lo que se nos pide que lo descarguemos en nuestro sistema.

Al respecto de esta web, decir que la hemos observado en campañas recientes protagonizadas por familias de troyanos bancarios con origen en Latinoamérica y, más concretamente, Brasil. Si revisamos la información asociada al dominio en cuestión comprobaremos que tiene poco más de dos semanas de vida. A pesar de ello, los delincuentes le han sacado partido usándolo para varios envíos de correos maliciosos como el que estamos analizando.

En lo que respecta al fichero descargado, nos encontramos ante el clásico archivo comprimido que contiene en su interior el código malicioso encargado de iniciar la cadena de infección. En esta ocasión nos volvemos a topar con un fichero LNK que se encarga de iniciar la línea de comandos del sistema y ponerse en contacto con el dominio que acabamos de mencionar para descargar los ficheros que componen las sucesivas fases del ataque.

Es interesante comprobar como los delincuentes detrás de estas campañas reutilizan, e incluso comparten, la infraestructura a pesar de pertenecer a grupos diferentes. Esto es algo característico de los grupos de cibercriminales brasileños responsables de amenazas similares como Grandoreiro, Casbaneiro o, la que nos ocupa en esta ocasión, Mispadu.

La finalidad principal de estos códigos maliciosos es el robo de credenciales relacionadas con la banca online, aunque con el paso de los años, han ido ampliando sus objetivos y ahora roban también otro tipo de credenciales que puedan monetizar fácilmente, ya sea usándolas ellos mismos o vendiéndolas a otros delincuentes.

En cualquier caso, la persistencia de este tipo de campañas en España demuestra que nuestro país continúa como uno de los principales objetivos de estos grupos criminales y que aun consiguen suficientes víctimas en nuestra región. Es por ello que debemos aprender a reconocer los correos que usan como cebo y contar con soluciones de seguridad que nos ayuden a identificar y eliminar estas amenazas.