Tras la publicación en nuestra web hace unos dias del aviso de un correo Phishing de Bankinter, los investigadores Miguel Ángel de Castro y Pedro Guillén. procedimos a su destrucción para evitar que mas personas siguiesen enviando sus datos bancarios al conocido banker Thund3rC4sH. Dias atras publicamos un video del proceso de destrucción de toda la infraestructura creada por este mismo ciberdelincuente para el envio de mail phishing del banco santander. En ambas ocasiones  se aprovecho de viejas debilidades conocidas en Frontpage para atacar los diferentes servidores que ha usado para el envio de mails para phishing asi como para la recepción de los datos robados a los clientes.

Pueden verse en las siguientes capturas el proceso realizado para que los ciberdelincuentes no sigan aprovechando
estos fallos para crear sus infraestructuras maliciosas.

El trabajo realizado para la destrucción de la infraestructura se basa en:

1. Obtención de la ip del servidor de correo (Podemos encontrarla en las cabeceras del correo).

2. Descarga del ejecutable para su analisis y rastreo de ip de conexión en el momento del envio  de los datos robados (Para este proceso se cuenta con un sniffer y un software de analisis de procesos como sysanalicer). El binario descargado te indica que introduzcas tus credenciales de acceso al portal y que rellenes todos los datos de la tarjeta de seguridad (UN BANCO JAMAS TE PEDIRÁ ESTO!!)

3. Una vez que tenemos ambas ip, se analizan fallos de seguridad en los servidores para acceder a ellos y poder eliminar el codigo malicioso. Como se ha comentado, en este caso se han atacado las extensiones frontpage, realizando inyecciones por post a los elementos de la estructura de webfolders adecuados. Estas inyecciones nos permiten entre otras cosas listar archivos y editarlos. Con estas funcionalidades localizamos las shells subidas por el ciberdelincuente y tomamos contrlde ellas para su eliminación.

4. Despues de salvar algunas mejoras que ha realizado el ciberdelincuente codificando sus herramientas para que no podamos tener acceso a las credenciales de acceso, se accede y se examina el codigo que envia finalmente las credenciales a una cuenta gmail.

5. Accedemos al correo Gmail, cambiamos contraseña, borramos datos y denunciamos cuenta.