Notificación

El presente reporte es producto del análisis del equipo de respuesta a incidentes del instituto de ciberseguridad (ERIICS).

Este tipo de alerta hace referencia una metodología de fraude conocida como Phishing a través de presunta suplantación de identidad del dominio bb.com.mx, el cual podría generar una afectación sobre servicios o ambientes productivos o comprometer la seguridad de la infraestructura interna o externa de tu organización.

Resumen

El equipo de respuesta a incidentes del instituto de ciberseguridad (ERIIC), ha identificado una presunta campaña de distribución de Malware.

El mensaje informa a la víctima que ha recibido una notificación para presentarse a una audiencia, en él se adjunta un archivo con terminación .doc para descargar los documentos maliciosos.

Asunto y remitente

• El remitente a diferencia de otros correos es el mismo: banbajioinforma@bb.com.mx
• El asunto del correo analizado: —==<< BajíoNET >>==—. S.P.E.I.

Análisis del correo

En un breve análisis a través de Virus total, se pueden identificar que varios motores de Antimalware lo identifican como malicioso:

Puedes dar clic aquí para acceder a la información mencionada con anterioridad

Las propiedades del archivo son las siguientes

Infraestructura de envío

Estos correos electrónicos son enviados utilizando la siguiente infraestructura de envío:

FQDN: server2.open-mind.ws

Dirección IP: 162.243.109.74

Problemática que permite la suplantación

La política DMARC incluye poner en cuarentena los corres que sean enviados desde servidores no encontrados en el registro SPF, sin embargo, sólo analiza el 75%, dejando en probabilidad que los correos que llegaron pertenezcan al 25% restante que no es analizado o que no pasa por la política DMARC, sin embargo, habría que realizar una verificación de estos más a fondo para determinar y encontrar el posible problema.

Recomendaciones

• Mantener actualizadas sus plataformas (Office, Windows, Adobe Acrobat, Oracle Java, entre otras).
• Contar con una solución de AntiSpam con características de identificación de Malware.
• Actualizar y refinar las reglas de seguridad de los AntiSpam y SandBoxing.
• Realizar concientización permanente para los usuarios sobre este tipo de amenazas.
• Contar con los registros DNS en los servidores de correo (SPF, DMARC y DKIM)
• Quedará a consideración, el bloqueo de remitentes de “banbajioinforma@bb.com.mx“
• Quedará a consideración, el bloqueo de los datos mencionados en el apartado de Infraestructura de envío: 
  • FQDN: server2.open-mind.ws
  • Dirección IP: 162.243.109.74
• Aplicar una política de Antimalware en el gestor de Correo electrónico.
• Aplicar mecanismos AntiSpam que permitan el rechazo de correos en caso de fallo con alineación SPF.

Medios de contacto

¿Quieres mejorar tu postura ciberseguridad? ¡Podemos ayudarte!

Whatsapp: https://wa.me/message/XLMOBC7ABUGAA1

Teléfono: +52 812 672 1298 / +52 812 587 2530

Correo: csirt@iciberseguridad.io