Los actores de amenazas continúan buscando formas innovadoras para eludir los sistemas de seguridad y lograr que sus correos electrónicos de phishing lleguen a las bandejas de entrada de los usuarios. En este sentido, una nueva campaña ha sido descubierta por la empresa Any.Run, que utiliza documentos dañados intencionalmente como archivos adjuntos en correos electrónicos.
Documentos dañados como herramienta de evasión
La campaña emplea documentos de Word corruptos para engañar a los usuarios y evitar la detección por parte del software de seguridad. Estos archivos adjuntos imitan correos electrónicos provenientes de departamentos de nóminas y recursos humanos, con temas relacionados con beneficios y bonificaciones.
Los documentos incluyen una cadena codificada en base64 que se decodifica como «##TEXTNUMRANDOM45##». Esta característica permite que los archivos evaden la detección por parte de las soluciones de seguridad, ya que no se aplican los procedimientos adecuados para su tipo de archivo.
El proceso de engaño
Cuando un usuario abre uno de estos documentos, Microsoft Word detecta el daño y muestra una notificación indicando que «encontró contenido ilegible», preguntando si desea recuperarlo. Al hacer clic en la opción de recuperación, se despliega un código QR que redirige al usuario a un sitio web de phishing que simula ser un inicio de sesión de Microsoft.
Este sitio intenta robar las credenciales del usuario para acceder a sus cuentas. Aunque los archivos funcionan correctamente dentro del sistema operativo, la mayoría de las soluciones de seguridad no los detectan debido a su estado dañado y al hecho de que no contienen código malicioso.
Reacciones de expertos
Any.Run ha explicado que estos archivos son una táctica novedosa utilizada para evadir la detección. Aunque los documentos no incluyen código malicioso, su uso como medio de engaño representa un avance en las técnicas de phishing.
Según datos proporcionados por BleepingComputer, casi todos los archivos adjuntos compartidos en esta campaña tienen cero detecciones en VirusTotal. Solo algunos fueron detectados por dos proveedores. Esto sugiere que la táctica empleada es efectiva para pasar desapercibida a las soluciones de seguridad.
Consejos de prevención
Los usuarios deben tener especial cuidado con los correos electrónicos de remitentes desconocidos, especialmente aquellos que incluyen archivos adjuntos. Es recomendable eliminar inmediatamente estos mensajes o confirmar su contenido con un administrador de red antes de abrir cualquier archivo adjunto.
La seguridad en la red depende de una combinación de medidas técnicas y buenas prácticas de uso, lo cual es fundamental para prevenir este tipo de ataques.