Falso correo de Amazon propaga nueva variante de Emotet

Casi un mes después de los engaños y amenazas relacionados con las ofertas online por CiberMonday y BlackFriday, una nueva campaña que identificamos en las últimas horas está suplantando la identidad de Amazon para propagar una nueva variante del troyano Emotet.

En este caso, el engaño comienza con un correo electrónico que, a diferencia de otros engaños relacionados con el phishing y el robo de credenciales a través de sitios falsos, no contiene un enlace hacia una página en la que se solicita al usuario ingresar datos, sino que simplemente informa acerca de una compra en el sitio Amazon.

Resulta interesante analizar el correo en cuestión, ya que no solamente tiene un diseño muy similar a los originales que envía Amazon, sino que además llega con el nombre y apellido de la víctima (dato que probablemente obtiene a partir de la dirección de correo o de alguna filtración de información).

Si bien a simple vista el correo pareciera ser auténtico y provenir de una dirección genuina, lo cierto es que al desplegar los detalles del remitente podemos observar que en realidad se está enviando desde una dirección que nada tiene que ver con el dominio de Amazon. Encontramos entonces el primer indicio que indica que se trata de un engaño.

Como dijimos al comienzo de este post, a diferencia de los correos comúnmente asociados a campañas de phishing y otros engaños, en este caso no se le solicita al usuario información, ni se le indica hacer clic en un enlace para resolver un problema y mucho menos descargar un archivo adjunto. El engaño busca pasar lo más desapercibido posible y para eso intenta despertar la curiosidad del usuario que recibe un simple correo de confirmación por una compra realizada.

La mayoría de las víctimas que reciben este correo crearon en algún momento una cuenta en la web de Amazon o suelen realizar compras en dicho portal, por lo que lo primero que piensan es que alguien robó sus credenciales y está realizando compras fraudulentas desde su perfil. Apelando a esta preocupación y al buen diseño del correo, el atacante busca que sus víctimas hagan clic en los enlaces detrás del número de orden o en el botón de “detalle de la compra”. Aquí encontramos el segundo indicador que confirma las sospechas: el correo es claramente un engaño.

IEl troyano Emotet se caracteriza por su constante mutación (por lo que seguimos encontrando nuevas variantes) y por contener payloads de diferentes familias de troyanos bancarios y spyware que buscan robar la información del usuario. Resulta interesante el análisis de este caso ya que el atacante busca ir más allá del Phishing tradicional, combinando diferentes técnicas de propagación y engaño para lograr que su víctima haga clic en un enlace, ejecute un archivo y finalmente el código malicioso logre comprometer el equipo y recopilar los datos sensibles.

Desde ESET recomendamos a nuestros usuarios no hacer clic en ningún enlace que provenga de correos no solicitados. En caso de duda ingresar directamente al portal en cuestión y sobre todo utilizar soluciones de seguridad actualizadas para protegerse de las últimas amenazas.