PDF malicioso: uno de los principales formatos utilizados en amenazas por correo electrónico en América Latina

Los ar­chi­vos en for­ma­to PDF se han con­ver­ti­do en uno de los re­cur­sos más em­plea­dos por los ci­ber­de­lin­cuen­tes en cam­pa­ñas de co­rreos elec­tró­ni­cos ma­li­cio­sos den­tro de Amé­ri­ca La­ti­na. Su efec­ti­vi­dad ra­di­ca en que for­man parte de la ac­ti­vi­dad la­bo­ral y co­ti­dia­na de las per­so­nas, lo que dis­mi­nu­ye la sos­pe­cha ini­cial al si­mu­lar fac­tu­ras, con­tra­tos o ci­ta­cio­nes ju­di­cia­les. Estos do­cu­men­tos pe­li­gro­sos pue­den ope­rar in­cor­po­ran­do scripts u ob­je­tos que ex­plo­tan vul­ne­ra­bi­li­da­des del lec­tor, o bien sir­vien­do como un puen­te que in­clu­ye en­la­ces y có­di­gos QR para re­di­ri­gir a si­tios fal­sos o pro­mo­ver la des­car­ga de soft­wa­re ma­li­cio­so.

Dis­tin­tos ejem­plos do­cu­men­ta­dos en la re­gión re­fle­jan cómo ope­ran estas ame­na­zas en la prác­ti­ca. En Co­lom­bia se de­tec­tó una cam­pa­ña en­fo­ca­da en dis­tri­buir un tro­yano de ac­ce­so re­mo­to me­dian­te un PDF que con­te­nía un en­la­ce de des­car­ga hacia un ar­chi­vo com­pri­mi­do. Por otro lado, en Bra­sil se iden­ti­fi­ca­ron co­rreos que su­plan­ta­ban a un tri­bu­nal de jus­ti­cia me­dian­te un PDF que mos­tra­ba un falso error de vi­sua­li­za­ción; al in­ten­tar so­lu­cio­nar­lo, el usua­rio era di­ri­gi­do a una pá­gi­na ex­ter­na que des­car­ga­ba un script ma­li­cio­so capaz de al­te­rar de­fen­sas del sis­te­ma y co­nec­tar con ser­vi­do­res de co­man­do y con­trol.

Ade­más de los do­cu­men­tos le­gí­ti­mos al­te­ra­dos, los ata­can­tes tam­bién em­plean ar­chi­vos eje­cu­ta­bles dis­fra­za­dos me­dian­te nom­bres en­ga­ño­sos como una fac­tu­ra, apro­ve­chan­do que los usua­rios sue­len ig­no­rar la ex­ten­sión real del do­cu­men­to. Para pre­ve­nir estas in­fec­cio­nes, se acon­se­ja re­vi­sar mi­nu­cio­sa­men­te la ex­ten­sión y el re­mi­ten­te, evi­tar hacer clic en en­la­ces o bo­to­nes in­ter­nos, ac­tua­li­zar los sis­te­mas y uti­li­zar he­rra­mien­tas de se­gu­ri­dad. En caso de haber abier­to uno por error, las re­co­men­da­cio­nes in­clu­yen ce­rrar el ar­chi­vo in­me­dia­ta­men­te, des­co­nec­tar el equi­po de in­ter­net y no­ti­fi­car al so­por­te téc­ni­co cor­po­ra­ti­vo para eje­cu­tar un aná­li­sis com­ple­to.