La mayoría de los análisis de phishing asumen que un enlace lleva a algo malicioso o no lleva a nada malicioso, y que quien lo verifique verá lo mismo que vería una víctima real. La investigación que el SANS Internet Storm Center publicó el 1 de septiembre describe una campaña construida precisamente para romper esa suposición. Un correo en portugués brasileño llevó a un investigador de laboratorio hasta un enlace que respondía una pregunta antes de responder la solicitud: ¿está este visitante realmente en Brasil, y está usando de verdad un navegador y un sistema operativo configurados en portugués brasileño? Si ambas respuestas eran correctas, el enlace entregaba un troyano bancario. Si alguna de las dos fallaba, entregaba en su lugar un instalador legítimo de Android Studio.
Un Enlace Que Decide Qué Mereces Ver
La familia de malware involucrada, conocida como Guildma o Astaroth, lleva años apuntando a usuarios brasileños para robar credenciales bancarias, y esta campaña muestra por qué sigue funcionando. El comportamiento malicioso no está codificado en ninguna parte del correo, y tampoco es una propiedad fija del enlace. Es una decisión en vivo que toma el servidor del atacante para cada visitante individual, basada en la geolocalización de la dirección IP que hace la solicitud y en el idioma y la configuración regional que reporta el navegador. Un investigador, un sandbox o una herramienta de seguridad que revise ese enlace desde fuera de Brasil, o desde una máquina configurada en inglés o español, recibe el instalador real de Android Studio: funcional, inofensivo y una razón convincente para concluir que el enlace está limpio. Solo un visitante que esté físicamente en Brasil y configurado en portugués brasileño llega a ver la carga real.
De un Archivo de Acceso Directo a una Secuencia de Datos Oculta
Para los visitantes que superan ambas verificaciones, el enlace entrega un archivo ZIP que contiene un acceso directo de Windows. Al ejecutarlo, se conecta de nuevo con un servidor web y guarda lo que recibe en una Secuencia de Datos Alternativa de NTFS, una forma de adjuntar datos adicionales a un archivo que la mayoría de los listados de archivos y las inspecciones casuales nunca muestran. Esa secuencia oculta contiene una DLL de 64 bits, que a su vez descarga e instala un paquete de AutoIt que ejecuta el propio malware Guildma. Cada paso posterior al clic inicial está construido con la misma lógica que la verificación de geolocalización: diseñado para que un defensor que no reproduzca las condiciones exactas de una víctima real en Brasil nunca vea lo que realmente sucede.
Por Qué DMARC Nunca Fue Diseñado Para Detectar Esto
DMARC evalúa un mensaje en el momento de la entrega: si el dominio del encabezado From autorizó a la infraestructura que lo envió. No tiene ningún mecanismo para evaluar qué hace una URL dentro de ese mensaje cuando alguien hace clic en ella, y mucho menos para una URL cuyo comportamiento cambia según quién hace clic y desde dónde. Un dominio puede estar perfectamente autenticado, con SPF, DKIM y DMARC pasando sin problema, y aun así ser el vehículo de entrega de un enlace que se comporta como malware para un visitante y como una página de descarga de software para los siguientes cien. La verificación de geolocalización e idioma en esta campaña no apunta específicamente a DMARC. Apunta a cada paso de verificación automatizado y manual que ocurre después de que un mensaje supera la autenticación, que es precisamente el terreno que DMARC le entrega a alguien más en el momento en que el mensaje llega a la bandeja de entrada.
Qué Significa Esto Para Tu Programa
No trates un solo clic de prueba limpio como prueba de que un enlace es seguro. Un enlace probado desde tu centro de operaciones de seguridad, probablemente fuera de Brasil y configurado en inglés, puede parecer completamente inofensivo mientras sigue activo y siendo malicioso para la población a la que realmente apunta.
Ajusta tus condiciones de prueba a la amenaza que estás investigando. Cuando un mensaje sospechoso está escrito en un idioma específico para una región específica, validar sus enlaces desde una dirección IP y una configuración regional que coincidan es la única forma de ver lo que vería un destinatario real.
Trata los troyanos bancarios con objetivo regional como un riesgo permanente dondequiera que tu organización tenga operaciones en Brasil o personal de habla portuguesa, sin importar dónde se gestione de forma centralizada tu infraestructura de seguridad de correo.
Asegúrate de que tus herramientas de endpoint realmente inspeccionen las Secuencias de Datos Alternativas, no solo el contenido principal de un archivo, ya que esta campaña depende de esa brecha para ocultar su carga a plena vista.
La Conclusión
El movimiento más astuto de esta campaña no fue el troyano bancario al final de la cadena. Fue construir un enlace que le muestra a casi todo verificador, investigador y escáner automatizado exactamente lo que esperan ver, y reserva el ataque real para la única población para la que fue diseñado. DMARC autenticó el dominio que envió el correo original y luego no tuvo nada más que decir, porque todo lo que importaba ocurrió en una decisión del lado del servidor que ningún protocolo de autenticación fue diseñado para evaluar.
DMARC confirma que un dominio tenía autoridad para enviar un mensaje. No puede decirte que el enlace dentro de ese mensaje se comporta de forma distinta según quién hace clic y desde dónde, mostrándole a un investigador de seguridad un instalador inofensivo mientras le muestra a una víctima real un troyano bancario. Excello Mail convierte tus reportes agregados de DMARC en un registro claro y continuo de cada dominio y servicio que envía en tu nombre, para que la capa de autenticación se mantenga hermética mientras tu equipo investiga qué hace realmente un enlace con la audiencia para la que fue diseñado para engañar. Regístrate gratis en Excello Mail y ten esa base lista.