Los cibercriminales buscan cita en San Valentín

La campaña actual de Necurs ha llegado a más de 230 millones de correos no deseados en cuestión de dos semanas, después de que el botnet lanzara decenas de millones de mensajes en dos grandes ataques. El primero comprendió el periodo entre el 16 de enero y el 18 de enero, y el segundo episodio se produjo entre el 27 de enero y el 3 de febrero. “A diferencia de la mayoría de las redes de bots, Necurs se destaca por su complejidad técnica, diversidad de asociaciones y evolución continúa en una era en la que incluso las infraestructuras maliciosas más complejas ya no soportan las interrupciones”, añade Argüeso

Con un ritmo de a un ritmo de 30 millones de emails al día, la actual campaña de Necurs lanza a sus posibles víctimas unos textos muy breves supuestamente escritos por mujeres rusas residentes en Estados Unidos. “Si los spams son conocidos por tener bastantes errores de ortografía y gramática, estos mensajes destacaban en cambio por su buena redacción”, destaca IBM en su web.

En el email aparecía un correo electrónico con el nombre de la supuesta remitente, quien luego pedía al receptor contactar con ella usando otra dirección que hacía referencia a una persona completamente distinta. “La mejor manera de impedir estos emails es mediante la formación y sensibilización de los usuarios en relación a este tipo de correos maliciosos que nunca se deben abrir o responder”, puntualiza el director de la unidad de IBM Security en España.

IBM recuerda que el principal objetivo de estas campañas es atraer a sus víctimas para que compartan fotos comprometidas y así poder extorsionarles, pedirles dinero para ir a visitarles o infectar sus equipos con un malware. “Lo primordial es concienciar a los usuarios de las amenazas que suponen este tipo de correos maliciosos, que nunca se deben abrir ni responder. Y por supuesto, nunca pinchar en los enlaces que vengan en esos correos ni seguir las instrucciones que puedan incluir”, recuerda Argüeso.

Además, Necurs destaca por sus vínculos con malware que propaga troyanos bancarios, como Dridex y Trickbot, además de los ransonware Locky, Scarab y Jaff. Pero no solo de virus viven los operadores de Necurs, sino que también distribuyen spams para otros intentos de fraude.

El spam se envió desde aproximadamente 950.000 direcciones IP diferentes. El principal remitente en la lista de direcciones IP era una alojada a través de un ISP con sede en Pakistán. Esa dirección IP (103.255.5.117) había sido reportada por spams unas 655 veces, en el momento en que se escribió este artículo, y actualmente está clasificada en cuestión de riesgos con un 10 sobre 10, según IBM X-Force Exchange.

Los remitentes procedían en la mayoría de los casos de Vietnam e India, con un 55% de las direcciones de IP durante la campaña.