Typosquatting y combosquatting

El atacante empieza eligiendo un nombre cercano al de su objetivo. MITRE describe varias variantes: homoglifos, otra extensión, alfabetos distintos¹. El grupo EXOTIC LILY, por ejemplo, suplantó a organizaciones cambiando la extensión por «.us», «.co» o «.biz»¹.

Después compra el dominio. Cada registrador mantiene una base pública que muestra los datos de contacto de cada dominio registrado. Los servicios de WHOIS privado muestran en su lugar su propia información, lo que oculta al titular. El atacante también puede variar los datos de registro y los registradores para dificultar el seguimiento de su infraestructura¹.

Algunos dominios son de un solo uso: MITRE señala que se pueden generar direcciones de forma dinámica para servir contenido malicioso a una sola víctima, incluso con nombres de dominio de un solo uso¹. Otros atacantes compran dominios caducados, que pueden estar ya autorizados o ser considerados fiables por los defensores según su historial¹.

Queda el sitio en sí. El sitio objetivo puede ser un clon de un portal de acceso legítimo, o parecerse lo bastante como para llevar en su dirección elementos del sitio verdadero⁴. El mensaje que lo acompaña busca que se haga clic, a veces con varios mensajes de aspecto urgente⁴.

El mensaje parece venir de un organismo conocido. CISA enumera varios indicios: dirección de remitente próxima a una dirección real, saludo genérico del tipo «Dear Valued Customer», firma sin datos de contacto, faltas de ortografía y maquetación incoherente².

El enlace es el punto débil. Si pasa el cursor por encima y la dirección mostrada no coincide con el texto del enlace, puede estar falsificado. Un sitio malicioso puede parecerse al original, pero su dirección usa una ortografía distinta u otro dominio, por ejemplo .com en lugar de .net². Un servicio de acortamiento de direcciones también puede ocultar el destino real².

La página de acceso puede ser una copia del portal legítimo: la información introducida en los formularios se recoge y se envía al atacante⁴. Con algunos kits de phishing (EvilProxy, Evilginx2), la víctima es redirigida después al sitio verdadero, y el atacante captura además la cookie de sesión, junto con el usuario y la contraseña⁴.

El control visual tiene límites. MITRE reconoce que los homoglifos, tanto en ASCII como en dominios internacionalizados, y la ofuscación de las direcciones pueden dificultar una verificación manual³. De ahí el interés de las herramientas: los avisos en los correos procedentes del exterior, los filtros y las funciones antiphishing del navegador y del correo²³.

El recorrido técnico se resume en unas pocas etapas que las fuentes describen por separado. El atacante adquiere un dominio cercano al objetivo¹. Prepara un sitio que clona un portal legítimo o imita su aspecto⁴. Envía un correo con un enlace acompañado de un texto que empuja a hacer clic o a copiar la dirección en el navegador⁴. El sitio recoge entonces las credenciales, o propone descargar un archivo según el pretexto³⁴.

El enlace puede ocultar su destino de otras maneras. MITRE cita el formato de dirección que usa números enteros o hexadecimales como nombre de host, y el hecho de que el texto situado antes de una «@» se ignora. Aquí tiene una ilustración neutralizada de este tipo de dirección, tomada del ejemplo de MITRE⁴:

Ilustración (dirección neutralizada):
hxxp://google[.]com@1157586937
[el navegador ignora «google.com» antes de la @ y se conecta a la dirección numérica]

Por el lado de la defensa de una organización, MITRE propone registrar voluntariamente dominios parecidos a los propios para disuadir el typosquatting¹, vigilar los dominios creados recientemente con una estructura semejante a la propia, también bajo otra extensión¹, y usar SPF, DKIM y DMARC para filtrar los mensajes según la validez del dominio remitente⁶.

Las páginas de MITRE ofrecen casos reales sin fecha de campaña: la fecha de la última modificación de una página no data el incidente. Los casos siguientes se presentan, por tanto, sin fecha.

FIN7: un enlace con typosquatting hacia una herramienta falsa (fecha no precisada por la fuente)

MITRE informa de que FIN7 envió correos de spearphishing con un enlace con typosquatting hacia «ip-sccanner[.]com»³. El grupo registró también un dominio malicioso, advanced-ip-sccanner[.]com, que redirigía a un Dropbox controlado por el atacante y que contenía el ejecutable malicioso¹.

Magic Hound: dominios elegidos para víctimas concretas (fecha no precisada por la fuente)

Magic Hound registró dominios fraudulentos como «mail-newyorker[.]com» y «news12[.]com.recover-session-service[.]site» para atacar mediante phishing a víctimas determinadas¹.

Scattered Spider y Silent Librarian (fecha no precisada por la fuente)

Scattered Spider registró dominios para suplantar portales de acceso de empresas¹. Silent Librarian adquirió dominios para páginas de recogida de credenciales, que a menudo suplantan a la organización objetivo, con extensiones gratuitas: .TK, .ML, .GA, .CF y .GQ¹.

• Lea la dirección completa, de izquierda a derecha, antes de hacer clic. Pase el cursor por el enlace y compárelo con el texto mostrado².
• No abra el servicio desde el enlace recibido: CISA recomienda no seguir los enlaces enviados por correo para facilitar información personal o financiera². Brain aconseja usar sus favoritos. CISA recomienda además comprobar la solicitud con la organización usando datos de contacto hallados en un intercambio anterior, no en el sitio del mensaje².
• Active la autenticación multifactor cuando exista².
• Denuncie el mensaje. El NCSC británico indica que denunciar una estafa es gratis, lleva un minuto y ayuda a proteger a otras personas⁵. Puede investigar direcciones de correo y sitios fraudulentos y conseguir que se retiren⁵. En una empresa, siga primero el procedimiento interno de denuncia.

• Fiarse solo del candado: véase más arriba, la fuente habla de cifrado².
• Juzgar por la maquetación: un sitio puede ser un clon fiel del portal legítimo⁴.
• Confiar en la vista: los homoglifos dificultan una verificación manual³.
• Reutilizar una contraseña: si una contraseña introducida en un sitio falso se usa en otro lugar, hay que cambiarla en todas partes².
• Publicar demasiada información sobre uno mismo: el NCSC señala que los delincuentes usan información disponible en línea, incluidas las redes sociales, para hacer sus mensajes más convincentes⁵.