Phishing con malware, suplantación de Claro - Phishing
FPH24-00949Desde el CSIRT de Gobierno alertamos de una nueva campaña de phishing, cuyos detalles son los siguientes.
En esta ocasión se trata de una campaña en que, a través de correo electrónico que suplanta a la telefónica Claro, delincuentes indican falsamente a la víctima lo siguiente:
“Factura impagada, actuar pronto 10/04/2024
TUS DATOS:
Número de cuenta:
76500447551
Vencimiento:
05/04/2024”
El correo electrónico incluye un enlace a un sitio de descarga para un programa malicioso y así poder capturar credenciales de usuarios.
Indicadores de Compromiso
| Tipo | Valor | Comentario |
|---|---|---|
| IPv4 | 135. 125. 205. 93 | IP SMTP |
| IPv4 | 162. 19. 152. 203 | IP SMTP |
| IPv4 | 162. 19. 152. 84 | IP SMTP |
| IPv4 | 162. 19. 153. 42 | IP SMTP |
| IPv4 | 162. 19. 248. 48 | IP SMTP |
| IPv4 | 162. 19. 249. 45 | IP SMTP |
| IPv4 | 51. 195. 44. 121 | IP SMTP |
| IPv4 | 51. 195. 44. 175 | IP SMTP |
| IPv4 | 51. 195. 44. 183 | IP SMTP |
| IPv4 | 51. 195. 46. 3 | IP SMTP |
| IPv4 | 51. 195. 47. 138 | IP SMTP |
| IPv4 | 51. 195. 47. 194 | IP SMTP |
| Asunto Email | Factura impagada, actuar pronto | Asunto correo |
| URL | https: //cluprfacturagitalcionroma. norwayeast. cloudapp. azure. com/?facdigital-web/ConsultaClaro. aspx?nroFactura=9203-22988292&tokenValue=3233d6e527ebc123acf78373d3f0edb4135e3992 | Descarga de fichero |
| root@vps-019b8e8d. vps. ovh. net | Correo de salida | |
| root@vps-0bc5893f. vps. ovh. net | Correo de salida | |
| root@vps-11ee3f03. vps. ovh. net | Correo de salida | |
| root@vps-1b6060a8. vps. ovh. net | Correo de salida | |
| root@vps-21f3152c. vps. ovh. net | Correo de salida | |
| root@vps-2511e4bb. vps. ovh. net | Correo de salida | |
| root@vps-332abfad. vps. ovh. net | Correo de salida | |
| root@vps-35c7e3aa. vps. ovh. net | Correo de salida | |
| root@vps-3836ec22. vps. ovh. net | Correo de salida | |
| root@vps-38e7723d. vps. ovh. net | Correo de salida | |
| root@vps-4b975d3b. vps. ovh. net | Correo de salida | |
| root@vps-54ad4c72. vps. ovh. net | Correo de salida | |
| root@vps-5f4a1113. vps. ovh. net | Correo de salida | |
| root@vps-6d3bd7f0. vps. ovh. net | Correo de salida | |
| root@vps-7bb6712b. vps. ovh. net | Correo de salida | |
| root@vps-a27cf2b6. vps. ovh. net | Correo de salida | |
| root@vps-d3b19bbf. vps. ovh. net | Correo de salida | |
| root@vps-de3cb674. vps. ovh. net | Correo de salida | |
| root@vps-ed069c76. vps. ovh. net | Correo de salida | |
| root@vps-fd35fa7c. vps. ovh. net | Correo de salida |
Evidencias
Evidencia 1: