2391
ediciones
ioc
Sin resumen de edición |
(ioc) |
||
| Línea 191: | Línea 191: | ||
|Actualización con información adicional | |Actualización con información adicional | ||
|} | |} | ||
== IOCs Concretos (Estáticos o Artefactos) == | |||
Estos son indicadores observables directamente en el tráfico o los archivos. | |||
# Dominios y URLs: | |||
#* Dominio principal malicioso: <code>lidoustoo[.]click</code> | |||
#* Patrón de subdominio: <code>*[.]lidoustoo[.]click</code> (por ejemplo, <code>onedrive[.]lidoustoo[.]click</code>). | |||
#* Estructura de URL: <code>hxxps[:]//<parte_del_email_destino><cadena_numérica>[.]lidoustoo[.]click/<cadena_alfa>/$<email_destino_completo></code> | |||
#* Protocolo: Uso exclusivo de HTTPS para parecer legítimo. | |||
# Artefacto de Correo Electrónico (HTML): | |||
#* Código HTML específico: Presencia de una tabla con atributos exactos: <code><nowiki><table role="presentation" border="0" cellpadding="0" cellspacing="0" width="180" height="180" align="center"></nowiki></code>. | |||
#* Patrón de celdas: Una sucesión de celdas <code><nowiki><td></nowiki></code> de dimensiones <code>width="4" height="4"</code> con colores de fondo (<code>bgcolor</code>) que alternan entre <code>#000000</code> (negro) y <code>#FFFFFF</code> (blanco), formando una cuadrícula de 45x45 celdas (180/4). | |||
== IOCs Comportamentales (o Tácticos) == | |||
Estos describen patrones de acción del atacante o anomalías en el comportamiento del sistema/usuario. | |||
# Técnica de Ofuscación / Evasión: | |||
#* Renderizado de QR mediante HTML: El método principal de evasión. Un sistema que detecte la técnica de "phishing con QR mediante tablas HTML" es un IOC comportamental clave. | |||
#* Ausencia de etiqueta <code><img></code>: Donde se esperaría una imagen (.png, .jpg) de un código QR, hay una tabla HTML compleja. | |||
# Flujo de Ataque (Kill Chain): | |||
#* Separación de dispositivos: El correo llega a un cliente de email (ej. Outlook en PC), pero la interacción (escaneo) y la navegación a la URL fraudulenta se realizan desde un dispositivo móvil (smartphone), creando un punto ciego de seguridad. | |||
#* Personalización masiva: La URL final contiene el email del destinatario (<code>/$<email_destino></code>), indicando un alto grado de personalización automatizada. | |||
#* Redirección a dominio de phishing: Tras escanear el código, el usuario es dirigido a un sitio que imita un servicio legítimo (ej. OneDrive, portal de empresa) para robar credenciales. | |||
# Patrón de Comunicación de Red (Indirecto): | |||
#* Un dispositivo corporativo (móvil) se conecta a un dominio sospechoso (<code>lidoustoo[.]click</code>) inmediatamente después de que un usuario haya recibido un correo específico. Esta correlación temporal y lógica es un fuerte indicador comportamental. | |||
== Etiquetas / Categorías == | == Etiquetas / Categorías == | ||
| Línea 209: | Línea 234: | ||
----Nota importante: Esta técnica demuestra que los controles de seguridad basados en suposiciones sobre la representación de contenido malicioso pueden ser eludidos. La defensa en profundidad y la continua actualización de controles técnicos y concienciación del usuario son esenciales para combatir estas amenazas evolutivas. | ----Nota importante: Esta técnica demuestra que los controles de seguridad basados en suposiciones sobre la representación de contenido malicioso pueden ser eludidos. La defensa en profundidad y la continua actualización de controles técnicos y concienciación del usuario son esenciales para combatir estas amenazas evolutivas. | ||
[[ | [[index.php?title=Categoría:CAMPAÑAS|CAMPAÑAS]] | ||