CCN CERT BP 02 16 Correo Electrónico

SIN CLASIFICAR
Buenas Prcticas
CCN-CERT BP-02/16
Correo electrnico
Julio de 2016
SIN CLASIFICAR
SIN CLASIFICAR
CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico
CENTRO CRIPTOLOGICO NACIONAL

2.5.4.13=Qualified Certificate: AAPP-SEP-M-SW-KPSC,
ou=sello electrnico, serialNumber=S2800155J,
o=CENTRO CRIPTOLOGICO NACIONAL, cn=CENTRO
CRIPTOLOGICO NACIONAL, c=ES
2016.07.04 16:35:22 +02'00'
LIMITACIN DE RESPONSABILIDAD
El presente documento se proporciona de acuerdo con los trminos en l recogidos,
rechazando expresamente cualquier tipo de garanta implcita que se pueda encontrar
relacionada. En ningn caso, el Centro Criptolgico Nacional puede ser considerado
responsable del dao directo, indirecto, fortuito o extraordinario derivado de la utilizacin de la
informacin y software que se indican incluso cuando se advierta de tal posibilidad.
AVISO LEGAL
Quedan rigurosamente prohibidas, sin la autorizacin escrita del Centro Criptolgico Nacional,
bajo las sanciones establecidas en las leyes, la reproduccin parcial o total de este documento
por cualquier medio o procedimiento, comprendidos la reprografa y el tratamiento informtico,
y la distribucin de ejemplares del mismo mediante alquiler o prstamo pblicos.
SIN CLASIFICAR
SIN CLASIFICAR
NDICE
1. SOBRE CCN-CERT ................................................................................................................... 4

2. INTRODUCCIN ...................................................................................................................... 5
3. CORREO ELECTRNICO COMO VA DE INFECCIN........................................................... 6
3.1 Ficheros ejecutables con iconos .........................................................................................8
3.2 Ficheros ofimticos con macros..........................................................................................9
3.3 Uso del carcter RLO .......................................................................................................... 11
3.4 Uso de espacios para ocultar la extensin .................................................................... 13
3.5 Usurpacin del remitente .................................................................................................. 13
3.6 Enlaces dainos ................................................................................................................... 16

3.6.1 Phishing bancario ........................................................................................................ 16
3.6.2 Enlace de descarga de un fichero daino ........................................................... 17
3.6.3 Web Exploit Kits ............................................................................................................ 18
4. BUENAS PRCTICAS EN EL USO DEL CORREO ELECTRNICO ........................................... 20

4.1 Identificacin de correos electrnicos dainos ........................................................... 20
4.1.1 Correos con un patrn fuera de lo comn............................................................ 20
4.1.2 Verificacin del remitente ......................................................................................... 20
4.1.3 Comprobacin de los ficheros descargados ....................................................... 23
4.1.4 Actualizacin del sistema operativo y de las aplicaciones ............................... 25
4.1.5 Macros en los documentos ofimticos ................................................................... 26
4.2 Seguridad de las comunicaciones va email ................................................................ 26
5. OTRAS RECOMENDACIONES DE CARCTER GENRICO................................................... 29

6. DECLOGO DE RECOMENDACIONES ................................................................................ 30
7. ANEXO A. REFERENCIAS ...................................................................................................... 31
SIN CLASIFICAR
SIN CLASIFICAR
1. SOBRE CCN-CERT
El CCN-CERT (www.ccn-cert.cni.es) es la Capacidad de Respuesta a incidentes
de Seguridad de la Informacin del Centro Criptolgico Nacional, CCN. Este servicio se
cre en el ao 2006 como CERT Gubernamental Nacional espaol y sus funciones
quedan recogidas en la Ley 11/2002 reguladora del Centro Nacional de Inteligencia,
el RD 421/2004 de regulacin del CCN y en el RD 3/2010, de 8 de enero, regulador del
Esquema Nacional de Seguridad, modificado por el RD 951/2015, de 23 de octubre.
De acuerdo a todas ellas, el CCN-CERT tiene responsabilidad en ciberataques

sobre sistemas clasificados y sobre sistemas de las Administraciones Pblicas y de
empresas y organizaciones de inters estratgico para el pas. Su misin, por tanto, es
contribuir a la mejora de la ciberseguridad espaola, siendo el centro de alerta y
respuesta nacional que coopere y ayude a responder de forma rpida y eficiente a los
ciberataques y a afrontar de forma activa las ciberamenazas.
SIN CLASIFICAR
SIN CLASIFICAR
2. INTRODUCCIN
Actualmente el correo electrnico sigue siendo una de las herramientas ms
utilizadas por cualquier entorno corporativo para el intercambio de informacin. A
pesar de que en los ltimos aos han surgido multitud de tecnologas y herramientas
colaborativas para facilitar la comunicacin y el intercambio de ficheros, el correo
electrnico parece seguir siendo la herramienta predilecta de muchas empresas y
usuarios. No es de extraar, por tanto, que los atacantes traten de utilizar este medio
para tratar de infectar y comprometer equipos.
Segn datos recogidos por FireEye [Ref 1] durante el 2015 el 84% de las
organizaciones haban reconocido haber sido vctimas de al menos un ataque spear-
phishing (correo electrnico daino dirigido a una persona u organizacin) exitoso.
Dichos ataques se traducen en prdidas monetarias de gran valor las cuales suelen ir
acompaadas de otro tipo de daos colaterales como el perjuicio reputacional de la
empresa o el robo de informacin confidencial.
En otro informe de Symantec de este mismo ao [Ref 2] se puede apreciar el

incremento sustancial sobre las campaas de spear-phishing detectadas durante el
2015 respecto a aos anteriores. El trmino "campaa" hace referencia al envo de
emails dainos a grupos concretos de personas. Los atacantes son conscientes de que
enviando correos a grupos reducidos aumentan las posibilidades de infeccin adems
de prolongar el tiempo de deteccin de dichos ataques. El envo de estos correos
suele ir acompaado de ficheros adjuntos dainos, por ejemplo, un fichero ofimtico
de Microsoft Word o Excel (.doc, .xls) que intente explotar una vulnerabilidad en
Microsoft Office o bien ficheros con macros. Otra opcin es acompaar el email con
un enlace a un sitio web daino con el objetivo de infectar el equipo de la vctima
aprovechndose de configuraciones incorrectas del navegador o explotando alguna
vulnerabilidad del mismo.
En la parte izquierda de la siguiente imagen puede apreciarse el aumento

significativo de estas campaas desde el ao 2012. Fjese que los destinatarios as
como el nmero de emails por campaa se han reducido considerablemente por los
motivos previamente descritos. En el cuadro de la derecha pueden verse los tipos de
documentos ms utilizados a la hora de enviar adjuntos dainos. Como se observa, el
uso de ficheros .doc (Microsoft Word) o directamente el envo de ficheros ejecutables
(.exe, .scr) lideran los primeros tres puestos desde el ao 2014.
Figura 2-1 Campaas spear-phishing. Fuente: Symantec
SIN CLASIFICAR
SIN CLASIFICAR
Aunque el sector financiero suele ser la principal opcin de los atacantes, son
escasas las industrias que quedan exentas de este tipo de incidentes. El espionaje
industrial, militar o poltico as como el robo de informacin confidencial o la extorsin
son slo algunos de los objetivos finales de los ciberdelincuentes.
No slo las organizaciones, sino las cuentas de correo no corporativas de los

usuarios, es decir, las cuentas personales suelen ser tambin objeto de numerosos
ataques. En este caso, el robo de identidad o el phishing bancario suele ser el ms
habitual. Adems, en los ltimos tres aos el empleo de ransomware [Ref 3] para
extorsionar a los usuarios y solicitar una determinada cifra de dinero por recuperar sus
ficheros ha sido una buena fuente de ingresos para los atacantes. A diferencia de los
ataques dirigidos mencionados anteriormente el envo de emails dainos contra
cuentas personales suele realizarse de forma masificada, es decir, a un elevado
nmero de cuentas de correo (los cuales pueden ascender a decenas de miles) con
el objetivo de generar el mayor nmero posible de infecciones en el menor tiempo
posible.
La concienciacin, el sentido comn y las buenas prcticas en el uso del correo

electrnico son las mejores defensas para prevenir y detectar este tipo de incidentes.
El presente documento tendr como objetivo describir algunas de estas prcticas con
el fin de ayudar a los usuarios finales a identificar correos electrnicos dainos.
Para ello, en primer lugar, se darn a conocer las tcnicas ms habituales de

ingeniera social as como los recursos utilizados por los atacantes para conseguir
infectar un equipo u obtener informacin personal de un usuario. Posteriormente, tras
conocer dichas tcnicas, se ofrecern un conjunto de pautas y recomendaciones
para mitigar las acciones dainas descritas.
3. CORREO ELECTRNICO COMO VA DE INFECCIN

No cabe duda que el incremento y efectividad de los client side attacks [Ref 4]
y de la ingeniera social para engaar a los usuarios por medio de correos electrnicos
dainos ha modificado el paradigma de la seguridad corporativa. Actualmente los
firewalls perimetrales y la securizacin de los servicios expuestos a Internet no son
contramedidas suficientes para proteger una organizacin de ataques externos. Los
atacantes son conscientes que aprovecharse del factor humano es el mtodo ms
eficiente para eludir la mayor parte de soluciones tcnicas de seguridad
implementadas en una organizacin.
No es de extraar que la Casa Blanca [Ref 5], el Pentgono [Ref 6] o incluso

empresas tecnolgicas relacionadas con servicios y productos de seguridad como RSA
Security LLC [Ref 7] hayan sido comprometidas utilizando como vector de entrada un
correo electrnico daino. De hecho, si se analizan los vectores de infeccin de la
mayor parte de incidentes de seguridad relacionados con ataques dirigidos se puede
comprobar que el uso de emails dainos mediante spear phishing attacks es el
mtodo ms empleado.
Incluso grupos de atacantes altamente sofisticados como Equation Group [Ref

8] o APT28 [Ref 9], los cuales hacen uso de malware realmente complejo y daino,
SIN CLASIFICAR
SIN CLASIFICAR
recurren al correo electrnico en algunos de sus ataques para conseguir infectar a sus
vctimas.
La siguiente figura representa de forma simplificada el modus operandi de los

atacantes para conseguir infectar determinada organizacin.
Figura 3-1 Va de infeccin mediante el correo electrnico
En primer lugar, el atacante enviar un email daino a alguno de los

trabajadores de la empresa. Esta fase no se realizar de forma inmediata sino que
requerir de cierto estudio de las vctimas. El atacante se documentar todo lo que
pueda de los trabajadores y la propia compaa: hbitos de navegacin, horarios de
trabajo, perfiles pblicos en redes sociales (LinkedIn, Facebook, etc.), relaciones y
alianzas con otras empresas, etc.). Todos estos datos ayudarn a perfilar un email ms
eficaz y creble. A modo de ejemplo, si el atacante identifica que la organizacin
objetivo A tiene ciertas alianzas con la compaa B, podra elaborar un mail
falsificando el remitente y hacindose pasar por un empleado de la compaa B. De
esta forma forma, no levantara sospechas cuando un empleado de la compaa A
recibiera el mensaje.
En el segundo paso, la vctima abrira el mensaje daino, bien por medio de un

adjunto que descargara determinado malware o bien mediante una URL daina. Si el
ataque es sofisticado dicha infeccin sera totalmente inapreciable y transparente al
usuario, incluso si ste cuenta con soluciones de seguridad como, por ejemplo, un
antivirus. Tras ejecutar el malware, el atacante tendr acceso libre a otros recursos
internos de la organizacin como equipos de usuarios, servidores (por ejemplo, el
directorio activo), etc. Estas tcnicas utilizadas por los atacantes para saltar de un
equipo comprometido o otros, se denominan movimientos laterales [Ref 10] y sern
las que permitirn hacerse con el control de gran parte de los recursos de la
organizacin.
SIN CLASIFICAR
SIN CLASIFICAR
El primer paso para detectar y prevenir este tipo de ataques ser conocer las
tcnicas ms utilizadas para engaar a los usuarios. Los siguientes apartados darn a
conocer los mtodos de engao ms populares.
3.1 Ficheros ejecutables con iconos

Uno de los recursos ms utilizados para hacer creer al usuario que el fichero
adjunto en el correo es legtimo es asignarle un icono representativo de determinado
software conocido. Por ejemplo, el atacante crea un fichero ejecutable y le asigna el
icono de Microsoft Excel de forma que el usuario piense que est ejecutando un
documento ofimtico.
Este truco ha sido utilizado, por ejemplo, por el downloader Upatre encargado
de descargar y ejecutar el troyano bancario Dyre [Ref 11]. En este caso, el correo
informa al usuario de que dispone de una nueva factura adjunta. Dicha factura se
trata de un fichero comprimido .zip. El contenido del mismo ser un fichero ejecutable
con el icono de Adobe Acrobat. Si el usuario tiene activada la opcin Ocultar las
extensiones de archivo para tipos de archivo conocidos no ver la extensin .exe y
pensar que se trata de un fichero PDF legtimo.
Figura 3-2 Icono de Adobe Acrobat en un fichero binario (.exe)
Algunas campaas de ransomware como, por ejemplo, Cryptolocker han

utilizado tambin este truco para engaar a los usuarios [Ref 12].
Asimismo, durante el 2015 diversas empresas de arquitectura en Dinamarca

fueron vctimas de diversos spear phishing en los que se les enviaba una URL
apuntando a determinado recurso en Dropbox. Cuando el usuario haca clic en el
enlace descargaba un fichero ejecutable enmascarado con un icono de AutoCad.
El hecho de almacenar malware en un servicio legtimo como Dropbox o Mega
permite evadir algunas soluciones de seguridad que tratan de validar las URL de los
correos con determinadas listas de reputacin.
SIN CLASIFICAR
SIN CLASIFICAR
Figura 3-3 Phishing (icono AutoCAD). Fuente: heimdalsecurity.com
3.2 Ficheros ofimticos con macros

Una de las tcnicas ms utilizadas por los atacantes para conseguir ejecutar
cdigo daino en el equipo de las vctimas es incluir macros en un documento de
Office. Estas macros hacen referencia a un lenguaje de programacin orientado a
eventos que viene integrado en la suite de Microsoft Office y que permite automatizar
tareas. Dicho lenguaje se denomina VBA (Visual Basic for Applications) [Ref 13].
Aplicar macros a un documento ofimtico permitira, por ejemplo, asignar
determinado formato de forma automatizada a diversas partes de un documento de
Word evitando as tener que realizar dicha tarea de forma manual.
Sin embargo, las posibilidades y acciones que pueden realizarse mediante el

lenguaje VBA van ms all que la simple interaccin con los documentos ofimticos.
Por ejemplo, es posible programar instrucciones para realizar otras tareas en el sistema
operativo: utilizar APIs de Windows, acceder al sistema de ficheros de la mquina,
descargar y ejecutar ficheros, etc. El potencial que proporciona este lenguaje de
macros ha sido bien conocido por los atacantes desde hace tiempo y sigue siendo a
da de hoy uno de los mtodos ms utilizados para comprometer equipos. Un
atacante nicamente tendra que crear un documento ofimtico (por ejemplo, un
documento de Word) y embeber cdigo VBA para ejecutar alguna accin daina. Lo
ms comn es que dichas acciones estn dirigidas a descargar y ejecutar un binario
que permita el control remoto de la mquina (por ejemplo, un troyano). Otra opcin
es incluir el binario daino en la propia macro.
SIN CLASIFICAR
SIN CLASIFICAR
Este ltimo caso es la tcnica que utiliz BlackEnergy 3 [Ref 14] para
comprometer los equipos de la red de distribucin elctrica en la zona oeste de
Ucrania. En la siguiente imagen se muestra un fragmento de cdigo de la macro
utilizada en el documento de Excel que fue remitido va mail a uno de los trabajadores
de la compaa. El cuadro verde muestra el fichero ejecutable que ser creado en el
directorio temporal del usuario. El contenido de dicho binario estar definido en una
serie de arrays dentro de la propia macro. Una vez que el binario ha sido descargado
es ejecutado desde la instruccin Shell (cuadro azul).
Figura 3-4 Macro (dropper)
Aunque las versiones actuales de Microsoft Office impiden por defecto la

ejecucin de macros, los atacantes no han cesado en su uso. La siguiente imagen se
corresponde con un documento utilizado por una de las campaas del troyano
bancario Dridex [Ref 15]. Cuando el usuario abre el documento daino se muestran
instrucciones de cmo habilitar las macros en las versiones de Microsoft Office 2013 y
2010. Los atacantes utilizan de nuevo la ingeniera social mediante el siguiente mensaje
de alerta:
Atencin, este documento fue creado por una nueva versin de Microsoft
Office. Las macros deben ser habilitados para mostrar el contenido del documento.
Figura 3-5 Ingeniera Social para habilitar las macros. Fuente: Proofpoint.com
10
SIN CLASIFICAR
SIN CLASIFICAR
Un usuario confiado nicamente debe pulsar en el botn del banner Enable Content
para ejecutar el cdigo daino. La siguiente captura muestra un ejemplo similar; en
este caso, un malware de tipo POS (Point of Sale) [Ref 16] instruye al usuario de como
habilitar las macros bajo la excusa de que el fichero est protegido.
Figura 3-6 Ingeniera social para habilitar las macros
3.3 Uso del carcter RLO

Observar la extensin de un fichero suele ser una de las recomendaciones de
seguridad ms mencionadas antes de abrir cualquier adjunto recibido va email. Los
atacantes, conscientes de este hecho, han recurrido a tcnicas realmente ingeniosas
para hacer creer a los usuarios que determinada extensin se corresponde con un
fichero inofensivo. Una de estas tcnicas se denomina "Right to left Override" y se
aprovecha de determinados caracteres unicode para representar ciertas cadenas de
manera inversa.
Unicode, tal y como describe la wikipedia, se corresponde con:
"...un estndar de codificacin de caracteres diseado para facilitar el

tratamiento informtico, transmisin y visualizacin de textos de mltiples lenguajes y
disciplinas tcnicas, adems de textos clsicos de lenguas muertas.... Unicode
especifica un nombre e identificador numrico nico para cada carcter o smbolo, el
code point (punto de cdigo), adems de otras informaciones necesarias para su
uso correcto: direccionalidad, maysculas y otros atributos".
Uno de estos caracteres, denominado RLO (right to left override), ha sido

diseado para soportar lenguajes escritos de derecha a izquierda como el hebreo o el
rabe. Los atacantes, sin embargo, se han aprovechado del mismo para invertir el
11
SIN CLASIFICAR
SIN CLASIFICAR
orden de visualizacin de los ltimos caracteres que conforman el nombre de un

fichero junto con su extensin. nicamente es necesario insertar el carcter U+202e
antes de la cadena que se desea invertir para aplicar dicha codificacin. As, por
ejemplo, el nombre de fichero siguiente:
"FACTURA_2016_xcod.exe" se convertira en "FACTURA_2016_|exe.docx"
Figura 3-7 Carcter RLO
Un usuario que reciba dicho fichero puede caer en la trampa de pensar que se
trata de un fichero de Word legtimo comprobando nicamente la extensin .docx del
mismo. Si, adems, se asigna el icono de Microsoft Word al ejecutable el engao
resulta an ms creble. Esta misma tcnica ha sido empleada por malware como
Bredolab [Ref 17] el cual alcanza al usuario mediante un mensaje de spear phishing
avisando al mismo de que dispone de una nueva factura. La supuesta factura se
corresponde con un fichero comprimido .zip que contiene un ejecutable haciendo uso
del carcter RLO para camuflar la extensin .exe por .doc.
Figura 3-8 Spear phishing (Bredolab). Fuente: Cyren
12
SIN CLASIFICAR
SIN CLASIFICAR
3.4 Uso de espacios para ocultar la extensin

Otro mtodo utilizado por los atacantes para ocultar la extensin original del
fichero daino es aadir mltiples espacios justo antes de la verdadera extensin. De
este modo un binario con el nombre Factura_2016.exe podra renombrarse a
Factura_2016.pdf .exe (fjese en los
espacios antes de la extensin .exe). Dicho fichero se vera representado como se
muestra en la siguiente figura. Para hacer el engao ms creble los atacantes suelen
modificar tambin el icono asociado al binario.
Figura 3-9 Uso de espacios para ocultar la verdadera extensin
Un usuario que no repare en los tres puntos indicados por Windows (los cuales
indican que la longitud del nombre del fichero es superior a la visualizada) podra
pensar que la extensin legtima del fichero es PDF. Este truco fue utilizado, por
ejemplo, en determinadas campaas de spear phishing llevadas a cabo por APT1[Ref
18].
3.5 Usurpacin del remitente

Como se mencionaba en la introduccin del informe, los atacantes, previo al
envo de cualquier mail, tratan de obtener la mayor cantidad posible de informacin
acerca de sus vctimas.
Conocer las alianzas que tiene la organizacin objetivo con otras empresas o
disponer de los contactos ms habituales de cierto trabajador puede ser el dato
decisivo que determine el xito o fracaso de una campaa de spear phishing. En
ocasiones esta informacin se encuentra accesible directamente desde la propia
pgina de la organizacin, por ejemplo, desde el apartado de proveedores,
patrocinadores, etc. Las redes sociales, foros, plataformas de software colaborativo,
etc., son otros recursos de gran inters para localizar informacin sobre los empleados
de una empresa. Por ejemplo, si un atacante localiza un foro en el que un trabajador
de la compaa que plantea comprometer establece cierto debate con otros
usuarios, puede aprovecharse de dicha informacin para enviarle un mail privado
usurpando la identidad de algunos de esos usuarios.
Otro ejemplo; si un atacante conoce que peridicamente dicho trabajador

recibe tarifas de precios de un proveedor de servicios, el atacante puede usurpar a
dicho proveedor para enviarle un documento daino y conseguir acceso a su
mquina.
13
SIN CLASIFICAR
SIN CLASIFICAR
Para usurpar la identidad de un usuario los atacantes suelen utilizar dos mtodos.
Si tras analizar el dominio del usuario que intentan usurpar determinan que no es
posible falsificar el mismo, lo ms habitual es que registren un dominio con un nombre
muy similar. Herramientas como URLCrazy [Ref 19] o dnstwist [Ref 20] permiten
automatizar este proceso.
Vase el siguiente ejemplo con esta ltima herramienta. Supngase que un

atacante crea un campaa de phishing utilizando como seuelo gasnatural.es. Tras
comprobar que dicho dominio consta de registros SPF (concepto explicado ms
adelante) y que el mismo no puede ser usurpado, los atacantes deciden registrar un
dominio similar. Para ello, utilizan dnstwist. Esta herramienta automatiza la generacin
de dominios similares a partir del introducido como argumento, en este caso el
dominio legtimo gasnatural.es. Con la opcin -r mostrar los dominios similares
actualmente registrados. Fjese que la salida muestra dominios parecidos utilizando
diversas tcnicas:
Omission (eliminando caracteres): gasnatura.com.
Hyphernation (aadiendo un guin): gas-natural.es.
Figura 3-10 Herramienta DnsTwist (dominios registrados similares a gasnatural.es)
Si se ejecuta el mismo comando sin el parmetro -r, dnstwist generar multitud

de dominios similares utilizando algunas de las tcnicas previamente indicadas as
como tcnicas de repeticin, insercin, reemplazo, adicin, etc. En la siguiente
imagen se muestra el resultado de la ejecucin de dnstwist con la generacin de 280
variantes utilizando estos mtodos.
14
SIN CLASIFICAR
SIN CLASIFICAR
Figura 3-11 Herramienta DnsTwist (bsqueda de dominios similares a gasnatural.es)
El atacante podr seleccionar cualquiera de estos dominios para enviar un

correo daino. Durante el ao 2016 se han llevado a cabo diversas campaas de
phishing utilizando este mismo mtodo. Una de las ms relevantes ha sido la de
Endesa. Los atacantes [Ref 21] han utilizado mltiples dominios falsos de Endesa para
hacerse pasar por dicha compaa y conseguir infectar con una variante de
TorrentLocker (un tipo de ransomware) a los usuarios. Uno de los remitentes utilizados
ha sido endesa-clientes.com el cual tiene cierta similitud con el dominio legtimo
endesaclientes.com. Puede comprobarse mediante un whois que la fecha de
registro del mismo se ha realizado prcticamente unos das antes de empezar a enviar
los correos dainos.
Figura 3-12 Whois endesa-clientes.com
Dichos mail tratan de simular

una factura de Endesa como la
mostrada en la imagen de la
derecha. El enlace Consulta tu
factura y consumo apunta a un
fichero .zip alojado en
determinado sitio web (un servidor
comprometido) el cual contiene
un fichero JavaScript que inicia la
descarga y ejecucin del
ransomware.
Figura 3-13 Phishing endesa-clientes.com
15
SIN CLASIFICAR
SIN CLASIFICAR
La otra tcnica a la que suelen recurrir los atacantes es suplantar la cuenta y

dominio real del remitente. ste, sin duda, es el mtodo ms efectivo, ya que aumenta
las probabilidades de que la vctima abra un correo de alguien conocido. Sin
embargo, para poder suplantar el dominio de un usuario el servidor DNS asociado al
mismo debe de carecer de ciertas medidas de seguridad como, por ejemplo, SPF
(Sender Policy Framework). SPF, tal y como describe la wikipedia es:
una proteccin contra la falsificacin de direcciones en el envo de correo

electrnico. Identifica, a travs de los registros de nombres de dominio (DNS), a los
servidores de correo SMTP autorizados para el transporte de los mensajes. Este
convenio busca ayudar para disminuir abusos como el spam y otros males del correo
electrnico SPF extiende el protocolo SMTP para permitir comprobar las mquinas
autorizadas a enviar correo para un dominio determinado. La idea es identificar las
mquinas autorizadas por su direccin IP, y que esta identificacin la haga el
responsable del dominio que recibir el correo.
Un atacante puede comprobar fcilmente si determinado dominio hace uso de

SPF, por ejemplo, por medio del comando dig. En el siguiente ejemplo puede verse el
registro SPF del dominio legtimo correos.es. Los servidores indicados con la opcin a
se corresponden con los autorizados para enviar emails.
Figura 3-14 SPF correos.es
3.6 Enlaces dainos

El uso de enlaces dainos es quizs una de las tcnicas ms utilizadas para
conseguir ejecutar cdigo en el equipo de la vctima o bien para obtener informacin
de la misma. El tipo de enlace (donde apunta, qu tipo de acciones ejecutar, etc.)
depender de los objetivos de los atacantes. A continuacin se describen los usos ms
habituales de enlaces dainos.
3.6.1 Phishing bancario
Si el objetivo es conseguir datos financieros de los usuarios, es habitual que se

disee un correo electrnico intentando usurpar la identidad de determinada entidad
bancaria [Ref 22]. Si el usuario hace clic en el enlace ser redirigido a una pgina
con un aspecto similar o prcticamente igual a la del banco que intenta suplantar.
Fjese que en la siguiente imagen, en donde el enlace parece apuntar al sitio

legtimo del banco BBVA (www.bbva.es).
16
SIN CLASIFICAR
SIN CLASIFICAR
Figura 3-15 Phishing bancario (BBVA)
Sin embargo, si el usuario hace clic en el mismo ser redirigido a determinada IP

daina. Este truco se aprovecha de la propiedad HREF de HTML en donde se
especifica como nombre del enlace el sitio Web legtimo mientras que el propio link
apunta al sitio daino. La siguiente imagen muestra lo sencillo que resulta crear un
enlace cuyo nombre sea https://www.bbva.es mientras que el enlace asociado al
mismo apunte a un sitio web daino:
Figura 3-16 HREF (enlace daino)
En otros casos, suelen registrarse nombres de dominio similares al legtimo

(utilizando las mismas tcnicas que las detalladas en el punto 3.5) para dotar de mayor
credibilidad al correo o incluso recurrir a servicios legtimos como Google Docs [Ref
23] para albergar el formulario fraudulento pertinente. La pgina daina solicitar las
credenciales del usuario o bien datos bancarios (por ejemplo, el nmero de tarjeta y
sus coordenadas) bajo alguna justificacin. Los datos ingresados por el usuario sern
enviados a un servidor controlado por los atacantes.
3.6.2 Enlace de descarga de un fichero daino
Si el objetivo es infectar el equipo del usuario es comn utilizar un enlace que

apunte a un fichero daino alojado en algun servidor de forma que, una vez que el
usuario haga clic en el mismo, comience la descarga. No es extrao que incluso se
utilicen servicios legtimos como Dropbox, Mega, etc., (vase imagen 3-3) para
albergar dichos ficheros con el objetivo de evadir determinadas soluciones de
seguridad.
17
SIN CLASIFICAR
SIN CLASIFICAR
Las campaas de phishing llevadas a cabo durante mayo del 2015 [Ref 24]
para infectar a usuarios con Cryptolocker [Ref 25] utilizaban una vez ms la ingeniera
social para convencer a los usuarios que descargasen y ejecutaran determinado
fichero. En este caso, los emails simulaban provenir de Correos alertando al usuario de
que determinada carta certificada no pudo ser entregada. Si el usuario haca clic en
el botn Descargar informacin sobre su envo descargaba un .rar con el ejecutable
correspondiente al ransomware.
Figura 3-17 Phishing Correos
Fjese que para hacer ms creble el correo y proporcionar al usuario una falsa
sensacin de seguridad se solicita introducir determinado captcha antes de la
descarga del fichero.
3.6.3 Web Exploit Kits
Una de las tecnologas actualmente ms sofisticadas para infectar a un usuario

sin necesidad de que ste descargue o ejecute un fichero daino son los Web Exploit
Kit [Ref 26]. Este tipo de herramientas permiten identificar vulnerabilidades en el
navegador o alguno de sus plugins (comnmente Flash, Silverlight o Java) para
ejecutar cdigo daino en el equipo de la vctima.
El nivel de sofisticacin que pueden alcanzar este tipo de herramientas puede

verse de manifiesto en la ltima versin del Angler Exploit Kit [Ref 27], el cual dispone
de diversas tcnicas para evadir soluciones de seguridad como EMET y entornos
controlados (sandbox, mquinas virtuales, etc.). Otros Web Exploit Kit en auge
actualmente son RIG y Neutrino.
Generalmente, el proceso de infeccin es similar al descrito a continuacin.

Primero, un usuario recibe un correo en el cual, mediante ingeniera social, se anima al
mismo a hacer clic en determinada URL. Si el usuario hace clic en el enlace es
redirigido a un servidor TDS o Traffic Direction System. El objetivo de este servidor es
valorar si la vctima es de inters, es decir, si es candidata a ser comprometida o no.
Para ello, generalmente se consideran caractersticas como el user-agent del
navegador, la IP, la directiva referer, etc.
18
SIN CLASIFICAR
SIN CLASIFICAR
Si el usuario es considerado de inters ser redirigido al Server Exploit kit, el cual se

encargar de analizar la versin del navegador y la de los plugins instalados en el
mismo. Si alguna versin de estos componentes es vulnerable el Server Exploit kit
lanzar el exploit pertinente para ejecutar cdigo en el equipo del usuario y poder as
descargar el malware oportuno. La siguiente imagen representa de forma simplificada
dicho proceso.
Figura 3-18 Web Exploit Kit
En el caso de que el usuario no sea considerado de inters (por ejemplo, porque

utilice un navegador no contemplado por los atacantes) no se efectuar ninguna
accin daina (redirigiendo al usuario, por ejemplo, a un sitio legtimo).
Nota: tngase en cuenta que no siempre la URL recibida por el usuario va a ser daina.
En los denominados ataques watering hole los atacantes, previo al envo de
cualquier correo electrnico daino, analizan los patrones de navegacin de la
vctima. Una vez recabada dicha informacin intentan comprometer alguna de las
pginas web ms consultadas por los usuarios. Generalmente, el mtodo de infeccin
consiste en aadir cdigo daino para redirigir al visitante al Web Exploit Kit controlado
por los atacantes (por ejemplo, un simple iframe en Javascript). El ltimo paso
consistira en enviar un correo electrnico con un enlace a la URL legtima previamente
comprometida.
Este mtodo es mucho ms eficiente debido a la credibilidad que aporta al usuario

ver una pgina de confianza. El ataque que tuvo lugar en febrero de 2016 contra
diplomticos y personal militar de la India, apodado como Operation Transparent Tribe
[Ref 28] por los investigadores de Proofpoint, utiliz este tipo de tcnicas para infectar
determinados equipos con el RAT MSIL/Crimso.
Cabe destacar que todo este proceso es realizado de forma totalmente

transparente al usuario. Incluso algunos Exploit Kits como Angler [Ref 29] tienen
capacidad para ejecutar el cdigo daino directamente en memoria sin escribir
ningn fichero en disco. Esta tcnica, denominada fileless infection, permite sortear
diversas soluciones de seguridad (por ejemplo, algunos sistemas antivirus) que
nicamente intervienen cuando hay alguna escritura en disco.
19
SIN CLASIFICAR
SIN CLASIFICAR
4. BUENAS PRCTICAS EN EL USO DEL CORREO ELECTRNICO

Tras conocer las tcnicas de engao ms utilizadas por los atacantes resultar
ms sencillo para el lector comprender el porqu de las diversas recomendaciones de
seguridad que se describirn a continuacin. Dicho listado se encuentra dividido en
dos grupos. Por un lado, se proporcionarn una serie de recomendaciones dirigidas a
instruir al usuario a identificar posibles emails fraudulentos y evitar as ser vctima de
alguno de los ataques previamente descritos.
Por otro lado, desde el apartado Seguridad de las comunicaciones va email,

se ofrecern algunos consejos orientados a mejorar la confidencialidad y seguridad de
las comunicaciones a travs del correo electrnico.
4.1 Identificacin de correos electrnicos dainos
4.1.1 Correos con un patrn fuera de lo comn
Sin duda alguna, el consejo ms eficaz para identificar correos electrnicos

dainos es el sentido comn. Esto significa que cualquier sntoma o patrn fuera de lo
considerado normal o habitual debe despertar la sospecha del usuario. Un patrn o
sntoma irregular puede significar: recibir un correo de un remitente no conocido,
recibir un correo que solicite datos bancarios, etc.
Por ejemplo, un email electrnico remitido por una compaa de confianza que
presente un asunto o solicitud poco habitual y en el que se adjunte algn fichero o
enlace, debe generar cierta desconfianza por parte del usuario. Ante este escenario,
lo ms recomendable, antes de abrir cualquier adjunto, es contactar con el supuesto
remitente utilizando otra va de contacto diferente, por ejemplo, telfono, sms, otro
email, etc. De este modo se podr corroborar si el email recibido es legtimo o no.
Recurdese, tal y como se vio en el punto 3.5, que un atacante podr en ocasiones
usurpar un dominio legtimo cuando ste no presente las medidas de seguridad
adecuadas.
4.1.2 Verificacin del remitente
No confe nicamente en el nombre del remitente. El usuario deber comprobar

que el propio dominio del correo recibido es de confianza. En funcin del cliente de
correo utilizado dicha comprobacin se realizar de forma diferente. Por ejemplo, si el
usuario hace uso de Gmail mediante su servicio web observar una cabecera similar a
la siguiente cada vez que reciba un correo de una persona con la que no ha
establecido ninguna comunicacin antes.
Figura 4-1 Cabecera remitente (Gmail)
20
SIN CLASIFICAR
SIN CLASIFICAR
Fjese que en este caso aparece visible tanto el nombre del remitente como el
correo electrnico del mismo. Una vez que el usuario intercambie algn correo con
dicho usuario ya no visualizar la direccin de correo en dicha cabecera (a menos
que el usuario haga clic en los detalles del mismo), sino que nicamente aparecer su
nombre. Considrese este dato para identificar emails sospechosos.
La siguiente imagen muestra el remitente de uno de los correos de phishing en

los que se usurpaba a la compaa Correos. Obsrvese que, a pesar de que el nombre
del remitente es Correos, el dominio (supportpiece.com) no coincide con el de la
propia compaa (correos.com). Como se muestra en la parte inferior del mismo, el
ao de registro de dicho dominio se corresponde con el 2015, algo totalmente inusual
de tratarse del dominio legtimo. Para obtener los datos de creacin, actualizacin y
expiracin de determinado dominio pueden utilizarse servicios whois online como, por
ejemplo, https://whois.domaintools.com/.
Figura 4-2 Cabecera phishing correos. Whois supportpiece.com
Otra manera de investigar el posible origen daino del dominio es utilizar servicios
online de reputacin [Ref 30] o servicios de anlisis de malware. Una buena opcin
es utilizar www.virustotal.com el cual permite, entre otras cosas, comprobar URLs. En la
siguiente imagen se ha utilizado este ltimo servicio para verificar si el dominio anterior,
supportpiece.com, pudiera ser daino. La imagen de la derecha muestra el resultado
de dicho anlisis. Puede apreciarse que al menos 6 servicios de seguridad (de un total
de 66) identifican el mismo como daino.
Se recomienda leer los comentarios que proporcionan los usuarios en dicha

plataforma ya que en ocasiones suelen ofrecer informacin precisa sobre el tipo de
amenaza que representa la web o el dominio analizado (por ejemplo, indicando el
tipo de malware que se descarga desde el mismo).
21
SIN CLASIFICAR
SIN CLASIFICAR
Figura 4-3 VirusTotal: anlisis URL daina
Una alternativa ms para conocer si el dominio del correo pudiera ser daino
es buscar el mismo en algn motor de bsqueda junto con palabras clave como
phishing, malware, fraude, etc. Por ejemplo, a partir del siguiente dork en Google
supportpiece.com phishing|malware se obtienen rpidamente referencias a
pginas, blogs, servicios, etc., en el que identifica el dominio supportpiece.com
como fraudulento.
Figura 4-4 Resultados de bsqueda en Google
22
SIN CLASIFICAR
SIN CLASIFICAR
Si se desea analizar de forma ms minuciosa la procedencia del mail recibido as

como la ruta que ste toma a medida que pasa por cada servidor de correo debern
de obtenerse las cabeceras del mismo. Aunque dicho anlisis puede resultar engorroso
para un usuario no tcnico existen servicios on-line como:
https://toolbox.googleapps.com/apps/messageheader/analyzeheader que facilitan
dicha tarea. El usuario slo debe pegar las cabeceras en el cuadro de texto superior y
pulsar el botn "Analyse the header above". La siguiente imagen muestra el resultado
de un email de ejemplo utilizando dicho servicio. En la parte inferior de la imagen
(cuadro rojo) se muestran las cabeceras en crudo mientras que la superior ofrece un
resumen ms explicativo de su significado.
Figura 4-5 Anlisis de las cabeceras de un email
Para conocer cmo obtener dichas cabeceras para los servicios de Gmail, AOL,
Excite Webmail, Hotmail, Yahoo! o para los clientes de correo Apple Mail, Mozilla,
Opera u Outlook consltese el siguiente enlace:
https://support.google.com/mail/answer/22454?hl=en
4.1.3 Comprobacin de los ficheros descargados
Antes de abrir cualquier fichero descargado desde el correo, asegrese de la

extensin del mismo. Como se describi en el punto 3.1 los atacantes pueden utilizar
iconos de aplicaciones conocidas (Adobe, Word, Excel, etc.) para camuflar la
verdadera naturaleza del mismo. Si el usuario no tiene la opcin Ocultar las
extensiones de archivo para tipos de archivo conocidos desactivada puede ser
vctima del engao y ejecutar el mismo pensando que se trata de un fichero
inofensivo. Recurdese tambin comprobar el nombre completo del fichero. Windows
mostrar tres puntos (ver imagen 3-9) para indicar que el nombre del fichero es
superior al visualizado.
23
SIN CLASIFICAR
SIN CLASIFICAR
Figura 4-6 Ocultar las extensiones de archivo
Es importante destacar que los ficheros ejecutables, es decir, aquellos con

capacidad de ejecutar cdigo en la mquina, no se reducen nicamente a los
ficheros con extensin .exe. Otras extensiones como: .com, .cpl, .paf, .cmd, .cpl, .js, .jse,
.msi, .msp, .mst, .vbs, .vbe, .psc1, etc., tiene capacidad para ejecutar acciones
dainas en el equipo.
Por ejemplo, los ficheros con extensin .js que son ejecutados desde disco (una
vez descargados) son interpretados por el Windows Script Host, un entorno de
ejecucin con el que cuenta Windows para ejecutar ficheros JScript y VBScript. Dicho
entorno permite ejecutar un fichero .js con la misma libertad que cualquier otro fichero
ejecutable. Los atacantes conocen bien las ventajas [Ref 31] que les proporciona
ejecutar JavaScript fuera del entorno del navegador, por este motivo es habitual
encontrarse emails con ficheros adjuntos cuyo contenido es un fichero .js. Las
campaas del ransomware TeslaCrypt en abril de 2016 [Ref 32] utilizaban
precisamente este mtodo para infectar a sus vctimas. El siguiente fragmento de
cdigo se corresponde con el fichero JavaScript enviado como adjunto el cual se
encargara de descargar y ejecutar el payload final, un binario .exe correspondiente al
ransomware TeslaCrypt.
Figura 4-7 Cdigo daino Javascript. Fuente: Shopos
24
SIN CLASIFICAR
SIN CLASIFICAR
Teniendo en cuenta la informacin anterior, es importante que el usuario no

ejecute ningn fichero cuya extensin sea extraa o desconocida. Adems, se
recomienda el uso de aplicaciones de lista blanca. Este tipo de aplicaciones estn
diseadas para proteger el sistema operativo contra programas no autorizados y
dainos. Su objetivo es garantizar que slo los programas explcitamente autorizados
puedan ser ejecutados impidiendo la ejecucin de todos los dems. La
implementacin de este tipo de sistemas se consigue utilizando una combinacin de
software encargado de identificar y permitir la ejecucin de los programas aprobados
con el uso de listas de control de acceso mediante las cuales se impide la
modificacin de dichas restricciones. Por ejemplo, AppLocker es un conjunto de
polticas presentes en Windows 7 que permiten establecer mltiples niveles de
cumplimiento y establecer listas blancas de ejecucin. Dichas polticas permiten
especificar qu usuarios pueden ejecutar determinadas aplicaciones [Ref 40].
Asimismo, es posible establecer polticas para impedir ejecutar binarios desde
determinadas rutas (directorios).
4.1.4 Actualizacin del sistema operativo y de las aplicaciones
Se recomienda disponer de un sistema operativo actualizado. Los aplicaciones

ofimticas as como el navegador y cada uno de sus componentes
(plugins/extensiones) deben de estar actualizados tambin a la ltima versin. De este
modo se reducira significativamente la exposicin a ataques provenientes de URLs
dainas que apuntan a Web Exploit Kits. Como se detall en el punto 3.6.3 dichas
herramientas tienen capacidad para comprometer un equipo con tan slo visitar un
enlace (sin necesidad de descargar o ejecutar un fichero) al aprovecharse de
debilidades en el navegador o en alguno de sus componentes.
Ya que en ocasiones estas herramientas cuentan con 0-days (exploits para

vulnerabilidades desconocidas que no han sido parcheadas) es aconsejable disponer
de software adicional para mitigar los mismos. Una de las herramientas ms conocidas
es EMET (Microsoft) la cual permite aplicar determinadas medidas de seguridad tales
como DEP, EAF, ASLR, SEHOP, NPA, etc., de forma personalizada a los procesos que se
deseen para prevenir la ejecucin de cdigo daino. Se recomienda que
herramientas como el navegador as como aquellas utilizadas para abrir ficheros
ofimticos se encuentren protegidas por EMET o herramientas similares. Este tipo de
aplicaciones no deben de verse como una alternativa al antivirus sino como una
herramienta adicional ms de proteccin [Ref 40].
Figura 4-8 EMET
25
SIN CLASIFICAR
SIN CLASIFICAR
4.1.5 Macros en los documentos ofimticos
En el punto 3.2 se detallaron las posibilidades que proporcionan las macros

mediante el lenguaje de programacin VBA (Visual Basic for Applications). Un
atacante tendra libertad para ejecutar todo tipo de acciones en el equipo de la
vctima. Ya que las versiones ms recientes de Office impiden la ejecucin por defecto
de macros, los atacantes nicamente pueden recurrir a la ingeniera social para tratar
de convencer al usuario de que habilite las mismas. Aunque este recurso pueda
parecer poco ingenioso sigue siendo, a da de hoy, el mtodo ms usado para sortear
dicha proteccin.
El usuario nunca debe de habilitar las macros independientemente de lo que

explicite el documento. De hecho, ese puede considerarse un indicador de sospecha.
El uso de macros suele ser poco habitual y, en el caso de que el documento sea
legtimo, el bloqueo de las mismas no debera imposibilitar ver su contenido.
4.2 Seguridad de las comunicaciones va email

En los apartados anteriores se han descrito recomendaciones de seguridad
enfocadas a la prevencin de ataques comunes que utilizan como va de entrada el
correo electrnico. A continuacin se describirn otros aspectos de seguridad de gran
importancia relacionados con la confidencialidad e integridad de los datos enviados
por email.
El lector debe comprender que el proceso de enviar un correo electrnico

comprende numerosos pasos en los cuales se ven involucradas diversas tecnologas y
servicios. Entender este proceso, al menos de forma genrica, permitir conocer en
mayor profundidad, primero, cules son las carencias de seguridad que presenta el
correo electrnico y segundo, por qu es necesario utilizar herramientas adicionales
para suplir y mejorar dichas carencias.
El siguiente grfico muestra de forma muy resumida el proceso de envo de un

correo electrnico. En este caso Alice ([email protected]) redacta un email dirigido
a Bob ([email protected]). El cliente de correo utilizado por Alice contactar con
su servidor de correo (smtp.origen.com) el cual se encargar de obtener la
informacin necesaria para alcanzar el servidor de correo destino. Para ello consultar
el registro MX del dominio destino.com (al servidor DNS del destino) y despus resolver
el mismo para obtener su direccin IP. Posteriormente, enviar el correo al servidor
smtp.destino.com. Finalmente el cliente de correo de Bob podr descargar el correo
electrnico va IMAP/POP3.
El protocolo involucrado en este proceso de envo es SMTP. Este protocolo ha

sido utilizado desde 1982 y cuando fue implementando no se tuvieron en cuenta
medidas de seguridad tales como el cifrado o la autenticacin de las
comunicaciones. Esto quiere decir que todo el proceso de envo descrito
anteriormente se realizara en texto plano, es decir, que en cualquier punto de la
trasmisin un atacante podra ver y manipular el contenido de los correos.
26
SIN CLASIFICAR
SIN CLASIFICAR
Figura 4-9 Envo de email (SMTP)
Debido a estas carencias en SMTP se han ido desarrollado diversas tecnologas y

extensiones que permiten incorporar medidas de seguridad para garantizar la
autenticacin, integridad y cifrado a las comunicaciones va correo electrnico.
Algunas de las tecnologas mas conocidas son STARTTLS, SPF, DKIM y DMARC.
Utilizar STARTTLS con SMTP permite, por ejemplo, inicializar un intercambio TLS con
el servidor de correo previo al envo de las credenciales del usuario y del correo
electrnico. De esta forma un atacante que monitorice las comunicaciones no podra
acceder a informacin sensible.
Mediante DKIM (DomainKeys Identified Mail) el servidor de correo incorpora una

nueva cabecera al correo con una firma digital del contenido del mensaje. Cuando el
servidor destino recibe el mail, realiza una consulta DNS al dominio del remitente para
obtener la clave pblica mediante la cual descifrar el valor de la firma de la
cabecera DKIM y recalcular la misma para comprobar que generan el mismo
resultado. De esta forma se asegura la integridad del correo electrnico enviado, es
decir, se comprueba que el contenido del mismo no ha sido alterado.
Figura 4-10 Envo de email (SMTP + SPF + DKIM + DMARC)
27
SIN CLASIFICAR
SIN CLASIFICAR
En la imagen anterior se han indicado en rojo los puntos adicionales que se

llevaran a cabo utilizando las tecnologas SPF (descrita de forma superficial en el
punto 3.5), DKIM y DMARC. Fjese que en este caso el servidor de correo de Alice
firma el correo incorporando la cabecera DKIM-Signature. Al recibir el mail desde
smtp.destino.com primero comprueba el registro SPF para corroborar que el email
procede del servidor SMTP legtimo (10.10.10.10). Posteriormente, recupera la clave
pblica para recalcular la firma y, por ltimo, recupera la poltica DMARC para
conocer qu accin debe de ejecutar en el caso de que SPF o DKIM falle.
Aunque los proveedores de correo ms conocidos como Google, Yahoo y

Outlook cifran y autentican los emails utilizando este tipo de tecnologas, muchas
organizaciones [Ref 33] siguen haciendo un uso descuidado del correo electrnico.
Tngase en cuenta, adems, que estas tecnologas deben ser implementadas

tanto en el origen como en el destino para que puedan utilizarse. Asimismo, algunas
de estas medidas son susceptibles de ser atacadas. Por ejemplo, STARTTLS es
susceptible a ataques downgrade [Ref 34], en donde un atacante en una situacin
man-in-the-middle puede forzar a que no que lleve a cabo la negociacin TLS
(bastara con reemplazar la cadena STARTTLS).
Figura 4-11 Downgrade attack (STARTTLS)
Incluso en el caso de que se establezca la comunicacin TLS de forma

satisfactoria, los servidores de correo por los que pasa el email hasta alcanzar el
destino tendran acceso a su contenido. Debido a estos hechos, se deduce que no es
suficiente con delegar la seguridad del correo electrnico a las tecnologas
subyacentes encargadas de hacer llegar el mismo a su destinatario.
A continuacin, se listan algunas recomendaciones de seguridad encaminadas

a garantizar un buen uso del correo electrnico desde el punto de vista de sus
comunicaciones:
No utilice SMTP sin ninguna extensin de seguridad (comnmente en el puerto 25).

ste debe reemplazarse por SMTP-STARTTLS (puerto 587). Otra alternativa soportada
por algunos servicios es SMTP sobre SSL/TLS (puerto 465) (a diferencia de STARTTLS,
establece una negociacin TLS/SSL antes de cualquier comunicacin SMTP).
Utilice IMAP o POP sobre SSL/TLS (puertos 993 y 995 respectivamente) para la
descarga de correo (evite la versin en claro de ambos protocolos en los puertos
143 y 110).
28
SIN CLASIFICAR
SIN CLASIFICAR
Si el contenido del correo electrnico que se desea enviar es sensible se

recomienda el uso de herramientas adicionales para garantizar la integridad y
confidencialidad del mismo. Por ejemplo, herramientas como GPG (Gnu Privacy
Guard), Gpg4win [Ref 35] o plugins para clientes de correo como Enigmail
(Thunderbird) [Ref 36] facilitan la creacin y gestin de claves para el firmado y
cifrado de datos. Si un usuario quiere enviar un correo de forma que se garantice
la confidencialidad del mismo, deber de cifrar su contenido con la clave pblica
del destinatario. Si, adems, se quiere garantizar el no repudio y la integridad del
mensaje ste deber de ser firmado con su clave privada. Mediante el cifrado de
datos se garantiza que incluso si la cuenta de correo es comprometida el atacante
no podr recuperar su contenido. Para ms informacin sobre la generacin de
claves y el proceso de cifrado y firmado se recomienda la gua oficial de GPG [Ref
37].
Figura 4-12 Cifrado de correo
5. OTRAS RECOMENDACIONES DE CARCTER GENRICO

Utilice contraseas robustas [Ref 38] para el acceso al correo electrnico. Dichas
contraseas no deben de utilizarse con otros servicios o aplicaciones. Adems, las
contraseas debern ser peridicamente renovadas. Si es posible utilice doble
autenticacin.
En el caso de utilizar la versin web para acceder al correo electrnico no deben

de almacenarse las credenciales en el propio navegador ya que stas pueden ser
recuperadas en caso de infeccin por determinados tipos de malware. Antes de
cerrar el navegador asegrese de cerrar la sesin de la cuenta de correo; plugins
como Self-Destructing Cookies [Ref 39] pueden ser de gran ayuda.
Si se va a enviar un mensaje a varias personas y se quiere evitar que los

destinatarios puedan ver el resto de direcciones, utilice la funcin de copia oculta
(CCO).
Debe informarse inmediatamente al responsable de seguridad de la organizacin

en el caso de recibir un correo sospechoso (las faltas de ortografa suelen ser una
seal bastante reveladora).
29
SIN CLASIFICAR
SIN CLASIFICAR
No debe hacerse clic en ningn enlace que solicite datos personales ni bancarios
(los bancos nunca solicitarn las credenciales o datos personales del cliente por
medio del correo electrnico).
Debe evitarse hacer clic directamente en cualquier enlace desde el propio cliente
de correo. Si el enlace es desconocido se recomienda buscar informacin del
mismo en motores de bsqueda como Google o Bing antes de acceder al mismo.
6. DECLOGO DE RECOMENDACIONES
Declogo de seguridad del correo electrnico
No abra ningn enlace ni descargue ningn fichero adjunto procedente

1 de un correo electrnico que presente cualquier sntoma o patrn fuera
de lo considerado normal o habitual.
No confe nicamente en el nombre del remitente. El usuario deber

comprobar que el propio dominio del correo recibido es de confianza. Si
2 un correo procedente de un contacto conocido solicita informacin
inusual contacte con el mismo por telfono u otra va de comunicacin
para corroborar la legitimidad del mismo.
Antes de abrir cualquier fichero descargado desde el correo asegrese de

3
la extensin y no se fe por el icono asociado al mismo.
No habilite las macros de los documentos ofimticos incluso si el propio

4
fichero as lo solicita.
No debe hacerse clic en ningn enlace que solicite datos personales ni

5
bancarios.
Tenga siempre actualizado el sistema operativo, las aplicaciones

6
ofimticas y el navegador (incluyendo los plugins/extensiones instalados).
Utilice herramientas de seguridad para mitigar exploits de manera

7
complementaria al software antivirus.
Evite hacer clic directamente en cualquier enlace desde el propio cliente

8 de correo. Si el enlace es desconocido es recomendable buscar
informacin del mismo en motores de bsqueda como Google o Bing.
Utilice contraseas robustas para el acceso al correo electrnico. Las

9 contraseas debern ser peridicamente renovadas. Si es posible utilice
doble autenticacin.
10 Cifre los mensajes de correo que contengan informacin sensible.
Figura 6-1. Declogo de seguridad
30
SIN CLASIFICAR
SIN CLASIFICAR
7. ANEXO A. REFERENCIAS
FireEye
Informe
[Ref 1] 22 de enero de 2012
https://www2.fireeye.com/rs/fireye/images/fireeye-how-stop-spearphishing.pdf
Symantec
Informe
Abril de 2016
[Ref 2]
https://www.symantec.com/content/dam/symantec/docs/reports/istr-21-2016-
en.pdf
Wikipedia
[Ref 3] https://es.wikipedia.org/wiki/Ransomware
BlackHat
Presentacin
[Ref 4] https://www.blackhat.com/presentations/bh-federal-06/BH-Fed-06-Caceres-
up.pdf
CNN Politics
Noticias
[Ref 5] 7 de abril de 2015
http://edition.cnn.com/2015/04/07/politics/how-russians-hacked-the-wh/
CNN Politics
Noticias
[Ref 6] 5 de agosto de 2015
http://edition.cnn.com/2015/08/05/politics/joint-staff-email-hack-vulnerability/
ArsTechnica
Blog Post
4 de abril de 2011
[Ref 7]
http://arstechnica.com/security/2011/04/spearphishing-0-day-rsa-hack-not-
extremely-sophisticated/
Wikipedia
[Ref 8] https://en.wikipedia.org/wiki/Equation_Group
FireEye
Blog Post
27 de octubre de 2014
[Ref 9]
https://www.fireeye.com/blog/threat-research/2014/10/apt28-a-window-into-
russias-cyber-espionage-operations.html
SmokeScreen
Informe
Octubre de 2014
[Ref 10]
http://smokescreen.io/downloads/6624a238047bd85133a5f44d47decc1f/Top_20_L
ateral_Movement_Tactics.pdf
Unam Cert
Blog Post
http://www.malware.unam.mx/en/content/infection-campaign-downloader-
31
SIN CLASIFICAR
SIN CLASIFICAR
upatre-and-trojan-dyre-through-emails
Reaqta
Blog Post
https://reaqta.com/2016/04/uncovering-ransomware-distribution-operation-part-2/
Wikipedia
[Ref 13] https://es.wikipedia.org/wiki/Visual_Basic_for_Applications
Sentinelone
Informe
Enero de 2016
[Ref 14]
https://www.sentinelone.com/wp-
content/uploads/2016/01/BlackEnergy3_WP_012716_1c.pdf
ProofPoint
Blog Post
23 de diciembre de 2014
[Ref 15]
https://www.proofpoint.com/us/threat-insight/post/New-Dridex-Botnet-Drives-
Massive-Surge-in-Malicious-Attachments
Symantec
Informe
20 de noviembre de 2014
[Ref 16]
https://www.symantec.com/content/dam/symantec/docs/white-papers/attacks-
on-point-of-sale-systems-en.pdf
Cyren
Blog Post
[Ref 17] 18 de agosto de 2011
https://blog.cyren.com/articles/exe-read-backwards-spells-malware-1191.html
Mandiant
Informe
[Ref 18]
http://intelreport.mandiant.com/Mandiant_APT1_Report.pdf
Morningstart Security
Herramienta
[Ref 19]
https://www.morningstarsecurity.com/research/urlcrazy
Github: Dnstwist
Herramienta
[Ref 20]
https://github.com/elceef/dnstwist
ElHacker
Blog Post
31 de mayo de 2016
[Ref 21]
http://blog.elhacker.net/2016/05/nueva-campana-de-ransomware-suplantando-
suplantando-factura-de-luz-Endesa.html
Protegerse
Blog Post
24 de abril de 2016
[Ref 22]
http://blogs.protegerse.com/laboratorio/2014/04/24/analisis-de-un-caso-de-
phishing-al-bbva/
32
SIN CLASIFICAR
SIN CLASIFICAR
Nakedsecurity
Blog Post
16 de enero de 2012
[Ref 23]
https://nakedsecurity.sophos.com/2012/01/16/google-docs-a-full-featured-full-
service-phishing-facility/
Panda Security
Blog Post
24 de marzo de 2015
[Ref 24]
http://www.pandasecurity.com/spain/mediacenter/malware/atencion-oleada-
de-ransomware-simulando-ser-correos/
Secureworks
Blog Post
[Ref 25] 18 de diciembre de 2013
https://www.secureworks.com/research/cryptolocker-ransomware
TrendMicro
Informe
16 de marzo de 2015
[Ref 26]
https://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-
papers/wp-evolution-of-exploit-kits.pdf
FireEye
Blog Post
[Ref 27] 6 de junio de 2016
https://www.fireeye.com/blog/threat-research/2016/06/angler_exploit_kite.html
ProofPoint
Informe
1 de marzo de 2016
[Ref 28]
https://www.proofpoint.com/sites/default/files/proofpoint-operation-transparent-
tribe-threat-insight-en.pdf
Malware Dont Need coffee

Blog Post
31 de agosto de 2014
[Ref 29]
http://malware.dontneedcoffee.com/2014/08/angler-ek-now-capable-of-
fileless.html
Zeltser
Informacin
[Ref 30]
https://zeltser.com/lookup-malicious-websites/
NakedSecurity
Blog Post
26 de abril de 2016
[Ref 31]
https://nakedsecurity.sophos.com/2016/04/26/ransomware-in-your-inbox-the-rise-
of-malicious-javascript-attachments/
Endgame
Blog Post
20 de abril de 2016
[Ref 32]
https://www.endgame.com/blog/your-package-has-been-successfully-encrypted-
teslacrypt-41a-and-malware-attack-chain
33
SIN CLASIFICAR
SIN CLASIFICAR
Sigcomm
Paper investigacin
[Ref 33]
http://conferences2.sigcomm.org/imc/2015/papers/p27.pdf
Digicert
Blog Post
[Ref 34] 12 de febrero de 2016
https://blog.digicert.com/striptls-attacks-and-email-security/
GPG4Win
Herramienta
[Ref 35]
https://www.gpg4win.org/
Enigmail (Mozilla)
Herramienta
[Ref 36]
https://addons.mozilla.org/es/thunderbird/addon/enigmail/
GPG
Gua
[Ref 37]
https://www.gnupg.org/gph/es/manual.html
Schneier on Security
Blog Post
[Ref 38] 3 de marzo de 2014
https://www.schneier.com/blog/archives/2014/03/choosing_secure_1.html
Self-Destructing Cookies
Plugin para Firefox
[Ref 39]
https://addons.mozilla.org/es/firefox/addon/self-destructing-cookies
Informe de Amenazas CCN-CERT IA-22/15

Medidas de seguridad contra Ransomware
[Ref 40] https://www.ccn-cert.cni.es/informes/informes-ccn-cert-publicos/1078-ccn-cert-ia-
22-15-medidas-de-seguridad-contra-ransomware/file.html
34
SIN CLASIFICAR

CCN CERT BP 02 16 Correo Electrónico

Cargado por

Copyright:

Formatos disponibles

CCN CERT BP 02 16 Correo Electrónico

Cargado por

Información del documento

Descripción original:

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

CCN CERT BP 02 16 Correo Electrónico

Cargado por

Copyright:

Formatos disponibles

SIN CLASIFICAR

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

CENTRO CRIPTOLOGICO NACIONAL

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

1. SOBRE CCN-CERT ................................................................................................................... 4

3.2 Ficheros ofimticos con macros..........................................................................................9

3.3 Uso del carcter RLO .......................................................................................................... 11

3.4 Uso de espacios para ocultar la extensin .................................................................... 13

3.5 Usurpacin del remitente .................................................................................................. 13

3.6 Enlaces dainos ................................................................................................................... 16

4. BUENAS PRCTICAS EN EL USO DEL CORREO ELECTRNICO ........................................... 20

4.2 Seguridad de las comunicaciones va email ................................................................ 26

5. OTRAS RECOMENDACIONES DE CARCTER GENRICO................................................... 29

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

De acuerdo a todas ellas, el CCN-CERT tiene responsabilidad en ciberataques

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

En otro informe de Symantec de este mismo ao [Ref 2] se puede apreciar el

En la parte izquierda de la siguiente imagen puede apreciarse el aumento

Figura 2-1 Campaas spear-phishing. Fuente: Symantec

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

No slo las organizaciones, sino las cuentas de correo no corporativas de los

La concienciacin, el sentido comn y las buenas prcticas en el uso del correo

Para ello, en primer lugar, se darn a conocer las tcnicas ms habituales de

3. CORREO ELECTRNICO COMO VA DE INFECCIN

No es de extraar que la Casa Blanca [Ref 5], el Pentgono [Ref 6] o incluso

Incluso grupos de atacantes altamente sofisticados como Equation Group [Ref

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

La siguiente figura representa de forma simplificada el modus operandi de los

Figura 3-1 Va de infeccin mediante el correo electrnico

En primer lugar, el atacante enviar un email daino a alguno de los

En el segundo paso, la vctima abrira el mensaje daino, bien por medio de un

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

3.1 Ficheros ejecutables con iconos

Figura 3-2 Icono de Adobe Acrobat en un fichero binario (.exe)

Algunas campaas de ransomware como, por ejemplo, Cryptolocker han

Asimismo, durante el 2015 diversas empresas de arquitectura en Dinamarca

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

Figura 3-3 Phishing (icono AutoCAD). Fuente: heimdalsecurity.com

3.2 Ficheros ofimticos con macros

Sin embargo, las posibilidades y acciones que pueden realizarse mediante el

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

Figura 3-4 Macro (dropper)

Aunque las versiones actuales de Microsoft Office impiden por defecto la

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

Figura 3-6 Ingeniera social para habilitar las macros

3.3 Uso del carcter RLO

Unicode, tal y como describe la wikipedia, se corresponde con:

"...un estndar de codificacin de caracteres diseado para facilitar el

Uno de estos caracteres, denominado RLO (right to left override), ha sido

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

orden de visualizacin de los ltimos caracteres que conforman el nombre de un

"FACTURA_2016_xcod.exe" se convertira en "FACTURA_2016_|exe.docx"

Figura 3-7 Carcter RLO

Figura 3-8 Spear phishing (Bredolab). Fuente: Cyren

CCN-CERT BP-02/16 Buenas Prcticas en correo electrnico

3.4 Uso de espacios para ocultar la extensin

Figura 3-9 Uso de espacios para ocultar la verdadera extensin

3.5 Usurpacin del remitente

Otro ejemplo; si un atacante conoce que peridicamente dicho trabajador