Se ha observado una avalancha de correos de tipo phishing. Esta vez no intentan simular portales de entidades bancarias, sino que están destinados a simular registrantes reputados de dominios como Enom y Networksolutions. Ayer además se dio a conocer que ICANN ha retirado la licencia a Estdomains, uno de los registrantes supuestamente aliados con el mundo del malware.

El asunto del correo suele ser: “Attention: domain will be expired soon.” En su interior en un cuidado inglés y en texto plano se avisa al usuario de que su domino está a punto de caducar y que debe visitar la web del registrante e introducir su usuario y contraseña
para renovar el dominio. En otras ocasiones en el correo se habla de que a causa de un corte temporal en el servicio, es necesario que el usuario se autentique.

En cualquiera de los casos el enlace lleva a una página que simula fielmente el portal de Enom o Networksolutions. Los dominios (adquiridos para la ocasión y camuflados en dominios de tercer nivel) bajo los que se alojan estos phishing suelen tener la estructura:
www.enom.com.comXY.biz, o www.networksolutions.com.sysXY.mobi/ siendo XY
números cualesquiera.

Si el usuario introduce en estas páginas sus datos, los atacantes podrán controlar el dominio que la víctima tenga contratado y redirigirlo limpiamente a cualquier otro servidor, que bien podría tratarse de otro phishing, o alojar en ese dominio malware. Al ser dominios “legítimos” del que los usuarios han perdido el control, el efecto es mucho más “creíble” para las potenciales víctimas que lo visiten.

Más información en Hispasec y en ICANN.

Be Sociable, Share!