Bank Phishing Sites Show Fake ‘Suspended’ Pages to Evade Takedowns

Una cam­pa­ña de su­plan­ta­ción de iden­ti­dad di­ri­gi­da prin­ci­pal­men­te a en­ti­da­des fi­nan­cie­ras y ser­vi­cios de te­so­re­ría em­pre­sa­ria­les ha es­ta­do uti­li­zan­do más de tres­cien­tos do­mi­nios fal­sos. Los do­mi­nios imi­tan a nu­me­ro­sas ins­ti­tu­cio­nes fi­nan­cie­ras, sobre todo ban­cos re­gio­na­les me­dia­nos, y em­plean pa­tro­nes de nom­bres es­pe­cí­fi­cos com­bi­na­dos con el nom­bre del banco ob­je­ti­vo.

El fun­cio­na­mien­to de esta in­fra­es­truc­tu­ra se basa en re­gis­trar las di­rec­cio­nes IP de los vi­si­tan­tes me­dian­te un kit di­gi­tal. De este modo, la pri­me­ra vez que al­guien ac­ce­de se le mues­tra una pá­gi­na de ini­cio de se­sión falsa con la iden­ti­dad vi­sual del banco, he­rra­mien­tas para blo­quear ins­pec­to­res de na­ve­ga­do­res y ele­men­tos de ve­ri­fi­ca­ción; sin em­bar­go, en las vi­si­tas pos­te­rio­res se mues­tra un aviso falso de cuen­ta sus­pen­di­da que si­mu­la el cie­rre de un ser­vi­cio de alo­ja­mien­to.

Esta es­tra­te­gia está di­se­ña­da para con­fun­dir a los equi­pos de se­gu­ri­dad, es­cá­ne­res y pro­vee­do­res en­car­ga­dos de dar de baja los si­tios frau­du­len­tos, ya que al rea­li­zar una com­pro­ba­ción de se­gui­mien­to per­ci­ben erró­nea­men­te que la pá­gi­na ya ha sido eli­mi­na­da, mien­tras esta con­ti­núa ac­ti­va para nue­vas víc­ti­mas. Ade­más, la cam­pa­ña uti­li­za pro­tec­cio­nes de Cloud­fla­re, ser­vi­do­res com­par­ti­dos y otras pá­gi­nas de aviso o re­di­rec­cio­nes para evi­tar el aná­li­sis com­ple­to por parte de ser­vi­cios pú­bli­cos.