A medida que el phishing evoluciona, los delincuentes cambian a malware

para ver problemas serios con sus estafas de phishing alrededor de abril.

Fue entonces cuando comenzaron a darse cuenta de que cada vez más de sus falsos correos electrónicos de "phishing" estaban siendo bloqueados. Los investigadores de seguridad pasaron el año anterior estudiando de cerca las redes de botnets de las computadoras infectadas y se estaban volviendo muy buenos bloqueando muchos de los correos electrónicos fraudulentos que se enviaban desde estos sistemas.

Esto estaba creando un problema para los phishers: estafadores en línea que crean sitios web falsos e intentan engañar a las víctimas para que los visiten y renuncien a sus nombres de usuario y contraseñas. Con menos mensajes que completaron, tuvieron que enviar más y más spam para trabajar sus estafas.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

En agosto, las bandas de phishing se concentraron en un nuevo forma de ganar dinero.

En lugar de pedirle a las personas que visiten un sitio web falso, cada vez más phishers comenzaron a pedirles a las víctimas que instalasen complementos del navegador u otros tipos de software. Para lograr esto, enviarían un correo electrónico que viene con software malicioso que se supone que es una actualización de seguridad de un banco. A veces simplemente compran tiempo en las computadoras infectadas con botnets e instalan código que roba las credenciales bancarias de las máquinas que ya han sido pirateadas.

Los ataques que instalan software malicioso son más fáciles de lanzar que nunca y están claramente en aumento, dijo Mickey Boodaei, CEO de Trusteer, una compañía de seguridad que fabrica software de seguridad de escritorio utilizado por los bancos. "Estamos viendo un claro cambio de los ataques de phishing".

No es que alguien piense que el phishing se está yendo. Los números de ataque siguen subiendo, pero el correo electrónico que incluye fraudes de phishing se ha triplicado en el último año debido a que los phishers se han vuelto más sofisticados técnicamente con sus ataques, dijo Dave Jevans, presidente del Anti-Phishing Working Group. "Estas no son cosas que solo roban tus contraseñas", dijo. "Estos te agregan a botnets".

Parte de este malware es bastante desagradable. Los phishers aprovechan su conocimiento de los sitios web bancarios para crear código personalizado que se ejecuta dentro del navegador, robando en silencio sus credenciales en línea, dijo Boodai. "Están tratando de inyectar páginas HTML en sesiones con estos bancos para robar información", dijo.

A principios de este mes, Trusteer presentó una herramienta de búsqueda para que los bancos y operadores de sitios web puedan buscar a través de este código malicioso para ver si sus dominios están siendo atacados en estos ataques.

Las principales marcas financieras como Lloyds, Citibank, PayPal y Bank of America siguen representando la mayoría de los ataques de phishing, pero los phishers se dirigen hacia instituciones financieras más pequeñas cuyos usuarios pueden no ser tan preparado para un correo electrónico falso. También han estado persiguiendo a las víctimas fuera de los EE. UU. "Con los bancos europeos, ha sido el peor año que han tenido", dijo Jevans.

Y los phishers no se detienen en el malware. Están constantemente buscando nuevas áreas donde atacar.

En los últimos dos meses, Jevans también ha visto a estafadores engañar a empresas como FedEx y United Parcel Service con ataques que están diseñados para instalar software malicioso en las computadoras. Y, en un desarrollo preocupante, los phishers también se han dirigido a registradores de nombres de dominio, con la esperanza de robar credenciales que les permitan redirigir dominios enteros de Internet a sus servidores maliciosos. Algunos expertos en seguridad creen que tal ataque de phishing puede haber dado acceso a criminales al dominio de Internet del servicio de pago en línea CheckFree a principios de este mes. En ese incidente, que ocurrió aproximadamente un mes después de que los clientes de los registradores de nombres de dominio fueran atacados por phishers, los clientes de CheckFree fueron redirigidos a un sitio web que intentó instalar software malicioso.

Los sitios de redes sociales también fueron un objetivo principal hace varios meses, aunque esos ataques han disminuido "drásticamente", ya que los sitios web respondieron al problema, según John Scarrow, gerente general de servicios de seguridad de Microsoft. "Realmente hay un flujo y reflujo" a los ataques, dijo.

Aunque el paso hacia el malware ha hecho que el phishing sea más complicado para algunos, también hay muchos recién llegados, según Don Jackson, director de inteligencia de amenazas de SecureWorks. "No hay escasez de educación, apoyo y ayuda mutua para establecer las estafas".

Tome al Sr. Brain. Se cree que es un pirata informático marroquí y desarrolla kits gratuitos de phishing para novatos para que puedan ingresar rápidamente al negocio. Según todos los informes, hace un gran trabajo, creando kits de phishing para bancos que aún no han sido atacados. "Es el principal proveedor de estos kits de phishing gratuitos", dijo Jackson. "Son gratuitos y en realidad son bastante accesibles".

Aunque sus kits de phishing son gratuitos, sin el conocimiento de los delincuentes aficionados que los descargan, tienen un inconveniente. Todos los datos de phishing registrados por estos sitios web falsos se envían automáticamente también al Sr. Brain. Así que los phishers de novato terminan siendo perseguidos ellos mismos.

Pero eso no los detiene. Los beneficios son demasiado buenos, y debido a que los estafadores pueden golpear a las víctimas en países lejanos, muchos de ellos operan como si estuvieran fuera de la ley. Y con los kits de herramientas de phishing y compradores de credenciales robadas fáciles de encontrar, el phishing sigue atrayendo a una nueva generación de delincuentes.

Para ellos, el phishing es más fácil que nunca, dijo Sean Brady, gerente sénior de RSA Security. "Si pudiera llamarlo algo, lo llamaría un crimen de productos básicos".