An Analysis of Architectural and Operational Dynamics of Phishkits in the Wild
Este artículo analiza 1.300 phishkits modernos recolectados entre 2020 y 2023 para revelar que, a pesar de su diversidad operativa, la mayoría depende de componentes predecibles y reutilizables y carece de mecanismos de evasión sofisticados, lo que sugiere que la detección a gran escala de estos ataques es factible.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
Imagina el internet como una ciudad enorme y bulliciosa donde todos intentan llegar a su destino. En esta ciudad, hay tramposos escurridizos que montan tiendas falsas que se ven exactamente como los bancos, centros de redes sociales o oficinas de correo reales. Esperan a que la gente pase por delante, con la esperanza de que entren para revisar su correo o retirar efectivo, solo para robarles sus llaves y secretos. Este es el mundo del "phishing", una estafa digital que ha existido durante mucho tiempo. Pero aquí está el giro: estos tramposos no suelen construir sus tiendas falsas desde cero, ladrillo a ladrillo. En su lugar, están comprando "kits de construcción" prefabricados llamados phishkits. Piensa en estos kits como un "set de Lego para estafas". Compras la caja, ensamblas las piezas y, ¡bum!, tienes un banco falso convincente. Estos kits vienen con instrucciones especiales sobre cómo esconderse de los guardias de seguridad de la ciudad (como los motores de búsqueda y el software antivirus) y cómo enviar secretamente las llaves robadas de vuelta a los malos. Comprender cómo funcionan estos kits es crucial porque, si sabemos cómo se construyen los sets de Lego, podemos descubrir cómo detectar los edificios falsos antes de que alguien salga herido.
Vamos a profundizar en lo que hizo un equipo de investigadores de la Universidad Internacional de Florida. Decidieron tomar una lupa gigante y examinar 1,300 de estos "sets de Lego de estafas" (phishkits) que flotaban por internet entre 2020 y 2023. Querían ver cómo los malos estaban usando estos kits, qué trucos usaban para esconderse y cómo estaban robando datos.
Aquí está lo que encontraron, y es un poco sorprendente: la mayoría de estos kits de estafa son en realidad bastante aburridos y predecibles.
Los investigadores descubrieron que, aunque los malos son astutos, también son eficientes. Encontraron que muchos de estos kits están construidos usando exactamente los mismos planos. Es como si cada criminal en una ciudad decidiera construir su banco falso usando las mismas tres instrucciones de un mismo manual de instrucciones. Los investigadores vieron que las partes "centrales" de estos kits —las partes que hacen que la página de inicio de sesión falsa parezca real, las partes que esconden el sitio de los escáneres de seguridad y las partes que envían los datos robados lejos— eran casi idénticas en cientos de kits diferentes. De hecho, descubrieron que 284 de los kits (aproximadamente el 21.8%) ni siquiera intentaron esconderse. Simplemente dejaron sus puertas abiertas de par en par, lo que los hace increíblemente fáciles de detectar para los sistemas de seguridad.
Cuando los malos sí intentaban esconderse, usaban trucos muy viejos y conocidos. Verificaban quién visitaba su sitio falso. Si el visitante parecía un guardia de seguridad, un robot de motor de búsqueda o un investigador universitario, el kit decía: "¡Oh, no eres una persona real! ¡Vete!", y mostraba una página de "Error 404" falsa en lugar de la estafa. Bloquearon millones de direcciones específicas, incluyendo aquellas pertenecientes a grandes empresas tecnológicas, universidades e incluso algunos servicios de VPN. Pero aquí está el detalle, estaban usando las mismas listas de direcciones bloqueadas una y otra vez. Es como un ladrón usando el mismo letrero de "Prohibido el paso" para cada casa que roba.
Los investigadores también miraron tras la cortina para ver cómo los ladrones estaban obteniendo su botín robado. Descubrieron que, en lugar de usar túneles subterráneos complicados y secretos, la mayoría de los malos estaban usando aplicaciones de mensajería populares y cotidianas (como Telegram) para enviar las contraseñas y números de tarjetas de crédito robados. Es como un ladrón enviándole un mensaje de texto a su compañero diciendo "¡Tengo las llaves!" usando una aplicación de teléfono regular y pública. El equipo incluso interactuó con estos bots de mensajería para ver qué estaba pasando. Encontraron miles de mensajes que contenían números de tarjetas de crédito reales y códigos de inicio de sesión. Informaron responsablemente a las compañías de tarjetas de crédito sobre estas filtraciones, y las empresas cancelaron las tarjetas activas para proteger a las víctimas.
Entonces, ¿cuál es la gran conclusión? El artículo sugiere que debido a que estos estafadores dependen tanto de estos kits prefabricados y de copiar y pegar, su comportamiento es altamente predecible. No están inventando formas mágicas y nuevas de esconderse cada día; simplemente están reutilizando los mismos trucos viejos y el mismo código viejo. Esto es en realidad una buena noticia para las personas que intentan detenerlos. Si los malos están usando las mismas instrucciones de Lego, los defensores pueden construir mejores "detectores de estafas" que busquen esos patrones específicos. Los investigadores concluyen que, aunque el phishing sigue siendo una gran amenaza, el hecho de que tantos de estos ataques estén construidos con las mismas partes predecibles hace que sea más fácil atraparlos en el acto, siempre y cuando podamos construir herramientas lo suficientemente inteligentes como para detectar los patrones familiares en medio del caos.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.