edición general
313 meneos
4120 clics
Aviso INCIBE: Detectada campaña de suplantación a la FNMT y a la AEAT con la intención de infectar tu dispositivo con un ransomware

Aviso INCIBE: Detectada campaña de suplantación a la FNMT y a la AEAT con la intención de infectar tu dispositivo con un ransomware

INCIBE publica aviso nivel 3: Se ha detectado una campaña de phishing con el fin de distribuir un stealer, conocido como ‘GuLoader/Agent Tesla’ para obtener información personal, suplantando a la Fábrica Nacional de Moneda y Timbre (FNMT) y a la Agencia Tributaria (AEAT).

| etiquetas: ramsomware , suplantación , fnmt , aeat
138 175 0 K 492 tecnología
39 comentarios
138 175 0 K 492 tecnología
Comentarios destacados:          
  2. #2 jig.ramos_614989cb3aa1e
    La fiscalía de oficio debería demandarlos por usurpación de funciones publicas.
    1 K -12
  3. #3 josemaX
    #1 La verdad, es que no tiene nada que ver una cosa con otra.
    11 K 105
  4. #4 Alcalino
    #2 si los hackers son mínimamente competentes, lo mas probable es que los servidores estén en Rusia o China, así que poco se va a poder hacer.
    6 K 62
  5. Jesulisto #5 Jesulisto *
    El 19 de este mes empezaron ya a llegar y los programas de correo se los suelen tragar porque tienen el SPF de @fnmt.es con ~all.

    El SPF sirve para saber si un remite es falso y en producción se debe poner -all, Tenerlo con ~all es de novato total :palm: Esa configuración es para pruebas pero no bloquea nada.
    1 K 16
  6. Nylo #6 Nylo *
    Yo he reportado hoy mismo al incibe un intento muy burdo de suplantar a EL PAIS con una noticia falsa que anima a invertir en no sé qué mierdas, y que venía como anuncio en una página de un diario deportivo...

    https:// online-nine.com/Cc6LhBWZ?external_id={click_id}&utm_content={campaign_item_id}&utm_campaign={campaign_name}&utm_term={site}&external_id=GiCymwYQQXsmNSDR_fvRpdCjsdGITYvREwNIVUgkTwpzmyD4wF4oi_nb4s6N0bmqAQ&utm_content=3834271016&utm_campaign=autopista.es%2Ff1-+2+ds&utm_term=grupoprisa-as&tblci=GiCymwYQQXsmNSDR_fvRpdCjsdGITYvREwNIVUgkTwpzmyD4wF4oi_nb4s6N0bmqAQ#tblciGiCymwYQQXsmNSDR_fvRpdCjsdGITYvREwNIVUgkTwpzmyD4wF4oi_nb4s6N0bmqAQ

    No hagáis ni caso, que os veo venir!
    1 K 19
  7. #7 josemaX
    #6 Tiene sentido poner ese enlace?
    2 K 31
  8. #8 amusgada
    ¡ja! si la FNMT quisiera que no me caducase el certificao sí que me preocuparía, lo normal es no decirte ni pío y luego remitirte a un manual de 89 páginas sobre cómo cambiar la fecha de tu ordenador y a ver si no explota y aún así... date por joío
    1 K 17
  9. Nylo #9 Nylo
    #7 en solitario, no. Indicando que es un fraude, ayuda a los inexpertos a ver qué pinta tiene un fraude. Pero si algún @admin cree que se debe quitar, que me lo quite, Es tarde para que lo edite.
    2 K 22
  10. MAD.Max #10 MAD.Max *
    Esto que avisan aquí es continuo.
    A varios de mis compañeros les llegó ayer. Tenemos un grupo donde vos avisanos de estas cosas. Y a veces nos reímos
    0 K 8
  11. MAD.Max #11 MAD.Max *
    #5 en serio?

    Y a veces envían con un dkim auténtico de un servidor de reenvío

    La otra forma tampoco bloquea de por si, depende del servidor de destino que le haga caso.

    En realidad tampoco es que "bloqueé"el spf, sino solo dice si viene de servidores "legitimados". Con dmarc ya le dices si servidor de destino qué debería hacer en caso de que le llegue un correo que no cumpla con spf/dkim, pero el de destino hasta lo que quiera
    0 K 8
  12. Jesulisto #12 Jesulisto
    #11 Si, en serio. Por supuesto que el que tiene que bloquear es el servidor que recibe pero normalmente no se suele bloquear un soft fail.
    No sé si llevan DKIM, me informaron unos colegas hace unos días y en ese momento daba soft fail
    0 K 13
  14. orangutan #14 orangutan
    Viene como adjunto un .rar, típico de la FNMT, eso me da confianza xD
    4 K 47
  15. nando58 #15 nando58
    #5 y #11
    Estoy tratando de aprender a leer cabeceras.
    Tenéis algún manual/enlace que me podáis recomendar?
    Gracias
    1 K 12
  16. verocla #16 verocla
    #4 Brasil....
    0 K 9
  17. #17 --6668--
    #4 Si se dieran la misma prisa en bloquear esos hosts que los de las páginas de torrents o furbo pirata el impacto de estos malwares sería mínimo.
    11 K 82
  18. Zade #18 Zade
    #8 Harían bien en preocuparse más porque los certificados ssl de las webs estatales fuesen seguros. La última vez que hice una operación en letras del tesoro tuve que desactivar la comprobación de seguridad de autofirma porque la puñetera web no tiene certificados de confianza. Manda cojones

    Sabiendo lo mal hechas y mal mantenidas que están casi todas las webs públicas, es normal que la gente pique en estos ataques porque lo que te esperas es que esté mal
    7 K 52
  19. Oregassj #19 Oregassj
    Esta gente triunfará de verdad el día en el que domine la gramática y la sintaxis.
    0 K 9
  20. #20 j3j3j3j3
    #5 casi me lo trago entero , venia de @fnmt.es como si seria legitimo , sospechaba porque no me coincidia los tiempos de caducidad del certificado y lo abri en un sandbox .... pero ostias , como institución ( muy imprescindible para todo lo mercanti fiscal y laboral) que tengas mal configurado el servidor de correo es como mínimo llamativo.
    PD. yo colgaria de los pulgares al informatico que hace el mantenimiento a ese servidor :ffu: :ffu: :ffu: :ffu: :ffu:
    1 K 16
  21. #21 Pushlock
    #12 De todos modos aunque tengan spf o dkim no valido, es tu servidor de correo de entrada el que tiene que decidir qué hace con esos mensajes .

    Es tu propio servidor el que debe decir "anda, si spf sospechoso no lo dejo entrar".
    0 K 6
  23. LaResistance #23 LaResistance
    me ha dado un susto de muerte porque ayer justo estuve instalandome certificados para comprar letras del tesoro.
    0 K 10
  24. Find #24 Find
    #19 Con la AI está al caer...
    0 K 10
  25. #25 solnegre
    La gente debería extremar cuidados y sospechar de todo correo que adjunta un archivo y no digamos si es de un organismo oficial o de un banco o de un remitente desconocido y aunque sea conocido hay que extremar las precauciones.
    0 K 10
  26. #26 solnegre
    #18 Si, cierto, todo lo de la FNMT es bastante rústico y el diseño de la web parece de hace 1.000 años. Es muy mejorable.
    0 K 10
  27. #27 solnegre
    #19 Antes de leer cualquier cosa, si como dicen #14 un e-mail de FNMT te adjunta un archivo .rar ya directamente lo borras.
    0 K 10
  28. estofacil #28 estofacil
    Yo hace poco escribí al INCIBE justo por esto. Quería sacar la tarjeta sanitaria europea y lo hice rápido desde el móvil en una web que tenía logo del gobierno y salía en Google en las primeras búsquedas. Al contrario de otra veces, no me pidieron clave ni nada y cuando acabó la petición de algunos datos pensé que saldría lo de Clave. Y nada, me llegó un email raro diciendo que mi petición estaba en curso. Pero no sé. Bueno INCIBE me dijo que el enlace era seguro pero después entre en otra web y si pude sacar el certificado con la clave pin como requisito. No se.
    0 K 7
  29. #29 --647148--
    Android…. Nada más que decir
    0 K 9
  30. mperdut #30 mperdut *
    #28 el timo que hacian con la tarjeta sanitaria europea, no sé si siguen haciéndolo, es que posicionaban una web, te pedían los datos y te cobraban X euros. La tarjeta te llegaba pero pagabas esos euros a quien, con tus datos que habías dejado, luego te la solicitaba.

    El timo no era pagar y que no te llegue, era que pagabas para hacer una gestión de algo que es gratis y puedes hacer tú.
    0 K 10
  31. #31 Pushlock
    #20 Bueno, el correo "dice ser" de la "fnmt.es", pero si abres las cabeceras se ve que no es de ahi. Pero para eso hay que saber un poco...
    0 K 6
  32. Jesulisto #32 Jesulisto
    #21 Seguro, pero no todos tenemos servidor propio así que mejor dejarlo claro de salida por si el admin del tuyo deja pasar los soft fails
    0 K 13
  33. #33 josemaX
    #29 creo que de Android, no dice nada específico.
    0 K 12
  34. #34 Fayer *
    #14 #27 Cualquier página del Estado es vergonzosa. Hace algunos años en la la FNMT tenías que quitar la protección https para poder sacar el certificado digital. Y estamos hablando de una herramienta que te puede suplantar la identidad en internet.

    Sin ir más lejos, a dia de hoy en la web de tesoro.es tienes que instalar a mano un montón de certificados para poder operar en la página sin que te salga a pantalla un warning de "sitio no seguro"...

    Simplemente vergonzoso. Riete tu de Renfe.

    CC #18 te he leido tarde
    1 K 20
  35. Acido #35 Acido *
    #33 #29
    Busqué a ver qué decía el artículo meneado sobre Android... y vi que tenía la etiqueta (Tag) "Android" entre un montón de otras etiquetas como "iOS", "Apple", "Windows", etc ...

    Así que restringiéndonos al artículo en sí no me pareció que hubiese nada específico de Android.

    Sin embargo, el artículo habla de

    "un stealer, conocido como ‘GuLoader/Agent Tesla’ "


    Y al buscar información sobre eso, el primero GuLoader vi que afecta principalmente a Windows y a Android, y el segundo, "Agent Tesla" al parecer se enfoca más en Android.
    Así que por lo que yo he visto sí que parece ser enfocado a Android (no descarto que pueda pasar algo en Windows, pero en iOS me pareció que no).
    0 K 10
  36. #36 josemaX
    #35 Tampoco, los tags de ese artículo son: Administración pública, Correo electrónico, Fraude, Malware, Ramsomware.

    Los tags que dices "Tags Ciudadanía" son para seleccionar y ver que hay sobre el tag que marques. Una "nube de tags" de toda la vida, vaya.

    GuLoader, es, precisamente una cosa Windows: lab52.io/blog/2023-2/
    1 K 15
  37. MAD.Max #37 MAD.Max *
    #15 Hay herramientas que ayudan a interpretar todas las cabeceras, incluido el orden de los servidores por donde ha circulado un mensaje (para detectar de forma más visual si un correo o varios podrían tratar de suplantarte, por ejemplo) pero ahora no las recuerdo.
    Y otras muchas para analizar las cabeceras spf (es bastante sencillo) , dkim (más o menos también lo es, pero en algunos casos se complica).

    Yo suelo hacerlo directamente sobre el fuente del correo, pero a veces es un poco enrevesado.

    Seguro que es fácil de encontrar en google
    1 K 11
  38. navi2000 #38 navi2000
    #31 no seas tan cruel con el chaval, a veces hasta los que sabemos no rebuscamos entre las cabeceras de los mails que creemos a primera vista legítimos. Lo que sí que nunca nadie debería hacer es ejecutar cosas que no haya solicitado.
    0 K 10
  39. #39 Pushlock
    #38 No quería ofender, dios me libre. Lo que quería decir es que para mirar las cabeceras hay que tener algún tipo de conocimiento técnico, que no es algo sencillo que pueda hacer o entender un usuario normal de correo. Siento la confusión.
    1 K 16
comentarios cerrados

menéame