Un informe publicado recientemente por la firma de ciberseguridad Abnormal Security revela que los actores detrás de los ataques de BazaCall han mejorado sus tácticas al emplear Google Forms para darle al esquema una apariencia de credibilidad.
Origen y características del esquema BazaCall
El esquema BazaCall, también conocido como BazarCall, surgió a fines de 2020 y se caracteriza por enviar mensajes que simulan notificaciones auténticas de suscripciones a destinatarios seleccionados.
Los correos instan a los objetivos a ponerse en contacto con un servicio de asistencia para cancelar la suscripción, bajo la amenaza de enfrentar cargos que oscilan entre $50 y $500.
Los atacantes persuaden a los objetivos, a través de llamadas telefónicas, para concederles acceso remoto mediante un software de escritorio remoto, logrando así establecer una persistencia en el host bajo la pretensión de ofrecer ayuda para cancelar la supuesta suscripción.
Suplantación de servicios populares
Entre los servicios populares suplantados se encuentran Netflix, Hulu, Disney+, Masterclass, McAfee, Norton o GeekSquad.
Nueva variante con Google Forms
En la variante más reciente detectada por Abnormal Security, los atacantes emplean un formulario creado con Google Forms para recopilar información relacionada con la presunta suscripción.
El objetivo recibirá una copia del formulario completado, que el atacante ha diseñado para parecerse a una confirmación de pago del software Norton Antivirus.
Estrategia de uso de dominios confiables
La elección estratégica de Google Forms muestra astucia, ya que las respuestas se envían desde la dirección «forms-receipts-noreply@google[.]com», un dominio de confianza que aumenta la probabilidad de eludir las defensas de correo electrónico seguras.
Dificultad en la detección
Los formularios de Google a menudo utilizan URL generadas dinámicamente, lo cual dificulta su detección mediante medidas de seguridad tradicionales basadas en análisis estáticos y detección basada en firmas.