Remitente

El remitente de correo varía entre estos dos:

administracion1@sat.gob.mx o administracion@sat.gob.mx

Análisis del Correo

El correo electrónico cuenta con archivos adjuntos con terminación .zip

Esto es para evitar que los motores AntiMalware puedan detectar de primera etapa el contenido de los documentos, el nombre del archivo puede variar, al realizar clic en el enlace incrustado en el correo nos descarga un archivo con terminación .zip

Extrayendo los archivos, detectamos dos, uno con extensión XLM y uno catalogado como paquete de instalación de Windows:

Análisis de los archivos

En un breve análisis a través de Virus total, se pueden identificar que varios motores de Antimalware lo identifican como malicioso:

Las propiedades del archivo son las siguientes

Al ejecutar el archivo tipo paquete instalador de Microsoft

nos presenta las siguientes pantallas, en las que, posteriormente nos solicita instalar un certificado.

Análisis de cabeceras

Al momento de revisar las cabeceras del correo, nos podemos dar cuenta que estos provienen de una entidad distinta, un FQDN: sd-159996.dedibox.fr con dirección IP 51.159.55.16, tratándose de un problema de suplantación de identidad.

Problemática que permite la suplantación

Al momento de revisar la política de DMARC se puede identificar que no se cuenta con este registro creado o publicado.

Realizando una revisión de todos los registros TXT, tampoco de identifica, puedes verlo en el siguiente enlace: DNS Checker – DNS Check Propagation Tool

¿Qué quiere decir esto?

Que la política al no existir no puede hacer nada para prevenir la suplantación de identidad, o lo que es equivalente a entregar los correos electrónicos cuando detecte que provienen de una fuente distinta a las agregadas en los registros SPF.

Recomendaciones

• Mantener actualizadas sus plataformas (Office, Windows, Adobe Acrobat, Oracle Java, entre otras).
• Contar con una solución de AntiSpam con características de identificación de Malware.
• Actualizar y refinar las reglas de seguridad de los AntiSpam y SandBoxing.
• Realizar concientización permanente para los usuarios sobre este tipo de amenazas.
• Contar con los registros DNS en los servidores de correo (SPF, DMARC y DKIM)
• Quedará a consideración, el bloqueo de remitentes de “sat.gob.mx”
• Aplicar una política de Antimalware en el gestor de Correo electrónico.
• Aplicar mecanismos AntiSpam que permitan el rechazo de correos en caso de fallo con alineación SPF.