Un nuevo kit de phishing denominado ‘File Archivers in the Browser’ se está utilizando para engañar a los usuarios al mostrar ventanas falsas de WinRAR o Windows File Explorer en el navegador, con la intención de hacer creer que están abriendo un archivo ZIP. Este tipo de ataque aprovecha la introducción reciente de dominios ZIP como TLD (Top-Level Domain), lo cual ha generado debate entre expertos en ciberseguridad.
El surgimiento de los dominios ZIP
A principios de este mes, Google comenzó a permitir el registro de dominios ZIP para alojar sitios web o direcciones de correo electrónico. Desde su lanzamiento, ha habido debate sobre si son un error y si representan un riesgo potencial para la seguridad de los usuarios.
Posibles usos maliciosos
Algunos expertos consideran que las preocupaciones son exageradas, pero el principal temor es que algunos sitios podrían convertir automáticamente una cadena terminada en ‘.ZIP’, como ‘setup.zip’, en un enlace clickable. Esto podría usarse para la entrega de malware o ataques de phishing.
Por ejemplo, si se envían instrucciones sobre cómo descargar un archivo llamado ‘setup.zip’, Twitter lo convertirá automáticamente en un enlace. Al hacer clic en él, el navegador intentará abrir el sitio https://setup[.]zip, que podría redirigir al usuario a otro sitio o mostrar una página HTML.
El kit de phishing desarrollado por mr.d0x
El investigador de seguridad mr.d0x ha desarrollado un kit de phishing inteligente que permite crear instancias falsas de WinRAR en el navegador. Estas ventanas se muestran en dominios ZIP para engañar a los usuarios haciéndoles creer que están abriendo un archivo .ZIP.
mr.d0x explica que este ataque simula un software de archivado de archivos, como WinRAR, dentro del navegador y utiliza un dominio ZIP para hacerlo parecer más legítimo. El investigador ha subido dos muestras a GitHub: una emula la utilidad de archivado de archivos WinRAR y la otra emula una ventana de Windows.
El kit se puede usar para incrustar una ventana falsa de WinRAR directamente en el navegador cuando se abre un dominio ZIP, lo que hace que parezca que el usuario abrió un archivo ZIP y ahora está viendo los archivos que contiene. Aunque la ventana aparece como una emergente, se puede eliminar la barra de direcciones y la barra de desplazamiento para hacerla parecer una ventana real.
Para aumentar su efectividad, los investigadores implementaron un botón falso de escaneo de seguridad que, al ser clicado, dice que los archivos fueron analizados y no se encontraron amenazas. Aunque el kit aún muestra la barra de direcciones del navegador, es probable que engañe a algunos usuarios para que piensen que se trata de un archivo WinRAR legítimo.
Posibles usos del kit
mr.d0x explica que este kit puede usarse tanto para el robo de credenciales como para la entrega de malware. Por ejemplo, si un usuario hace doble clic en un PDF en la ventana falsa de WinRAR, podría redirigirlo a otra página solicitando sus credenciales de inicio de sesión.
El kit también puede usarse para entregar malware al mostrar un archivo PDF que descarga un .EXE con un nombre similar cuando se hace clic en él. Por ejemplo, la ventana falsa podría mostrar un archivo ‘document.pdf’, pero al hacer clic, el navegador descargará document.pdf.exe.
Dado que Windows no muestra las extensiones de archivo por defecto, el usuario solo verá un archivo PDF en su carpeta de descargas y posiblemente haga doble clic en él sin darse cuenta de que es un ejecutable.
El uso de dominios ZIP como herramienta de engaño
De particular interés es cómo Windows busca archivos. Si no los encuentra, intenta abrir la cadena buscada en un navegador. Si esa cadena es un dominio legítimo, se abrirá el sitio web; de lo contrario, mostrará los resultados de búsqueda de Bing.
Si alguien registra un ‘dominio.zip’ que sea igual a un nombre de archivo común y alguien realiza una búsqueda en Windows, el sistema operativo abrirá automáticamente el sitio en el navegador. Si ese sitio albergara el kit de phishing mencionado, se podría engañar a un usuario haciéndole creer que WinRAR muestra un archivo ZIP real.
Historia y contexto del investigador
mr.d0x es conocido por sus kits de herramientas de phishing inteligentes anteriores, como el uso de VNC para phishing para eludir MFA y la técnica Browser-in-the-Browser. Los actores de amenazas usaron esta última para robar las credenciales de Steam.