Las campañas de phishing dirigidas a USPS tienen tanto tráfico web como el propio USPS

• Tras la época navideña de 2023, los investigadores de Akamai descubrieron una gran cantidad de actividades maliciosas y dominios supuestamente asociados al Servicio Postal de los Estados Unidos (USPS).

• Los investigadores de Akamai compararon cinco meses de tráfico de DNS al dominio legítimo, usps[.]com, con el tráfico de DNS a nombres de dominio ilegítimos víctimas de combosquatting. 

• Mediante este análisis, descubrimos que el número de consultas DNS a los dominios maliciosos recopilados suele ser aproximadamente igual al número de consultas a usps[.]com, e incluso lo supera durante las horas punta.

Los filtros que hemos aplicado son bastante estrictos: No incluimos nombres de dominio completos como us.ps393[.]com o usps.parceltracker-us[.]com porque estos involucran al subdominio. Para una mayor precisión, se recogieron únicamente las muestras más obvias que utilizan la técnica de combosquatting.

Nuestros estrictos parámetros hicieron que nuestro análisis fuera extremadamente conservador. Aun así, observamos una cantidad extraordinaria de tráfico malicioso, lo que hace que el verdadero impacto de estas suplantaciones sea asombroso. Sin duda, podríamos haber recopilado un número considerablemente mayor de dominios maliciosos que suplantan a USPS, pero era fundamental evitar incluir falsos positivos en este conjunto de datos.

Todas las estadísticas posteriores se derivan de la muestra de datos disponible para este análisis. Puede ser una muestra muy grande, pero sigue siendo una muestra, y su tamaño hace que todos los números sean más bajos. Esto se aplica tanto al conjunto de datos malicioso como al propio conjunto de datos usps[.]com legítimo.

Tabla 1: Dominios maliciosos con la mayor parte del tráfico de DNS

Si observamos las barras azules de la Figura 3, vemos que usps-stampservice[.]com comenzó a tener tráfico el 23 de noviembre, un día antes del Black Friday. Estuvo activo hasta el 1 de diciembre y luego dejó de tener tráfico. Suponemos que esto se debe a que los ciberdelincuentes dejaron de enviar mensajes de texto a posibles víctimas en ese momento. El sitio web probablemente se cerró en ese momento, ya que actualmente no podemos acceder a él.

Ahora veamos el otro dominio: uspspost[.]me (las barras naranjas en la figura 3). Este dominio parece tener como objetivo la época navideña y, curiosamente, el 6 de diciembre. Si se ha activado en la Fiesta de San Nicolás, quiere decir que la campaña estaba dirigida a un nicho muy específico: la Fiesta de San Nicolás solo se celebra en unos pocos lugares de los Estados Unidos. Puede que esta campaña también estuviera dirigida a los clientes rezagados del Cyber Monday.

Tabla 2: TLD más populares asociados a los principales dominios maliciosos

El TLD [.]com es el más popular para el registro de nuevos dominios. Observamos casi 4500 dominios .com únicos en nuestros datos. Esto no es sorprendente, ya que un [.]com puede ofrecer a las víctimas potenciales un sentido de familiaridad y legitimidad a nivel mundial.

El TLD [.]top parece ser la alternativa de TLD favorita del atacante. Aparece en segundo lugar con más de 3000 nombres de dominio diferentes. Este TLD genérico los opera una empresa tecnológica de China y es conocido por su uso malicioso en campañas de phishing.

Curiosamente, el TLD [.]world no aparece en la tabla. Esto se debe a que para [.]world contamos un total de 170 126 consultas (muy alto, casi tanto como [.]com y [.]top), pero el 99,5 % de esas consultas se realizaron solo a usps-post[.]world (recuerde que usps-post[.]world era el nombre de dominio que recibía más consultas). Hemos encontrado solo algunos nombres de dominio bajo este TLD.

Tabla 3: Dirección IP de dominios principales maliciosos

Las IP que pertenecen a QuadraNet tienen solo unos pocos nombres de dominio que apuntan a ellas, pero aun así tienen una gran cantidad de tráfico.

Las IP que apuntan a Amazon tienen un gran número de nombres de dominio asociados, pero cada dominio es responsable de una pequeña cantidad de consultas.

La explicación más probable es que aquí estamos viendo dos ataques de phishing diferentes. En uno de ellos, los estafadores decidieron propagar el tráfico a través de muchos nombres de dominio diferentes.  La otra campaña abarca solo unos pocos dominios, y cada uno de ellos tiene mucho tráfico.

También podemos ver lo que sucede a lo largo del tiempo. La Figura 7 muestra los mismos números agregados por semana.

No solo el tráfico es casi equivalente en un día normal, sino que durante algunas semanas, los dominios maliciosos reciben más consultas que el propio usps.com. Estos picos suelen producirse en torno al día de Acción de Gracias (Black Friday) y las fiestas navideñas, el periodo del año con mayor número de entregas de los Estados Unidos.

Parece que los atacantes son muy conscientes de estas fiestas de entrega de regalos y programan sus campañas de phishing de USPS en consecuencia. Lógicamente, tiene sentido que lo hagan, ya que cada vez más personas esperan paquetes en esas fechas. Esta temporada festiva también es un periodo especialmente ajetreado, lo que significa que es más probable que los usuarios cometan errores imprudentes que, en otras circunstancias, no cometerían, como hacer clic en estos mensajes de estafa.

Hemos detectado que USPS está recibiendo ataques de estafas de texto, especialmente durante las temporadas festivas de Navidad y Acción de Gracias debido a la compra de regalos característica de estas festividades.

El recuento total de consultas de los dominios maliciosos frente a usps[.]com es casi el mismo, incluso cuando solo se cuentan los dominios que incluyen el acrónimo USPS explícito. Aunque USPS salió ganador con el 51 % del total de consultas durante este periodo de 5 meses de este análisis, la forma en que filtramos los datos sugiere que el tráfico malicioso supera significativamente al tráfico legítimo en el mundo real. Hemos utilizado USPS como ejemplo, pero esta técnica de combosquatting se utiliza a nivel mundial en campañas de phishing, y por un buen motivo: es un éxito rotundo.

Observamos dos enfoques diferentes de los agentes maliciosos: O bien distribuían el tráfico a través de muchos nombres de dominio diferentes, o utilizaban solo unos pocos dominios, cada uno de ellos con mucho tráfico. Esto podría tener la finalidad de ocultación: los operadores y otros proveedores de alojamiento son conscientes de la ubicuidad de estas estafas e intentan permanecer atentos para eliminar estas páginas. Teniendo en cuenta el nivel de atención que prestan para eliminar estas estafas, los resultados y nuestras observaciones son aún más preocupantes.

Seguiremos supervisando e informando sobre amenazas como estas tanto para nuestros clientes como para la comunidad de seguridad en general.