El nuevo kit de phishing "Xiū gǒu" ataca a usuarios de cinco países mediante más de 2000 sitios falsos

Los investigadores de ciberseguridad han descubierto una nueva amenaza de phishing, llamada Xiū gǒu, que ha estado atacando a usuarios de cinco países (Australia, Japón, España, Reino Unido y Estados Unidos) desde septiembre de 2024. Este sofisticado kit de phishing ya ha generado más de 2000 sitios web falsos, lo que plantea graves riesgos en sectores como el público, los servicios postales, los servicios digitales y la banca. Xiū gǒu representa una tendencia creciente en los ataques de phishing que reducen la barrera para que los ciberdelincuentes lancen ataques, lo que hace que sea más fácil que nunca para los piratas informáticos menos capacitados infiltrarse en la información personal de las víctimas.

Cómo funciona Xiū gǒu: una nueva capa de tácticas de phishing

Los kits de phishing como Xiū gǒu facilitan a los cibercriminales la creación de sitios web falsos y convincentes que imitan servicios legítimos. Estos sitios suelen robar credenciales de usuario y otros datos personales, que los atacantes pueden vender o explotar. Xiū gǒu, desarrollado por un actor de amenazas de habla china, combina tecnologías avanzadas (como Golang y Vue.js) para impulsar un panel de administración para los atacantes, lo que permite el robo de datos de las víctimas sin problemas.

Xiū gǒu emplea varias tácticas avanzadas para evitar ser detectado. Entre ellas, la más importante es el uso de las funciones antibots de Cloudflare y la ofuscación del alojamiento, lo que dificulta que los sistemas de seguridad tradicionales detecten y bloqueen estos sitios. Xiū gǒu evade aún más la detección utilizando el dominio ".top" para sus sitios falsos y canaliza la información robada a través de Telegram para que los atacantes puedan acceder a ella fácilmente.

Servicios de comunicación enriquecida (RCS): una nueva vía para el phishing

En lugar de recurrir al phishing tradicional por SMS, Xiū gǒu utiliza Rich Communications Services (RCS) para atraer a las víctimas. La mensajería RCS, disponible a través de Apple Messages (a partir de iOS 18) y Google Messages para Android, mejora la experiencia de los mensajes de texto al admitir el uso compartido de archivos, indicadores de escritura e incluso cifrado de extremo a extremo opcional. Irónicamente, las capacidades mejoradas de RCS lo hacen atractivo para los cibercriminales, que aprovechan estos canales de comunicación confiables para enviar notificaciones falsas.

Los mensajes de phishing basados en RCS de Xiū gǒu suelen afirmar que el destinatario debe pagar una multa de estacionamiento o que necesita actualizar una dirección de entrega. Se incluye un enlace URL acortado que dirige a la víctima a un sitio falso diseñado para recopilar datos personales y engañarla para que realice pagos. Al hacerse pasar por servicios conocidos y crear una sensación de urgencia, estos mensajes manipulan a las víctimas para que compartan su información confidencial.

La respuesta de Google: protección mejorada para combatir las estafas de phishing

Google ha reconocido la amenaza que suponen estos métodos mejorados de phishing y ha implementado nuevas protecciones para los mensajes RCS con el fin de combatir estos riesgos. El gigante tecnológico introdujo recientemente algoritmos de aprendizaje automático en el dispositivo para filtrar mensajes fraudulentos relacionados con entregas de paquetes y otras estafas de phishing comunes. Además, Google ha lanzado un programa piloto en regiones como India, Tailandia, Malasia y Singapur para alertar a los usuarios cuando reciben mensajes con enlaces potencialmente peligrosos de remitentes desconocidos. Se espera que esta función se expanda a nivel mundial a fines de 2024 y tiene como objetivo bloquear los mensajes sospechosos de manera más efectiva.

Para agregar otra capa de protección, Google también permite a los usuarios “ocultar automáticamente los mensajes de remitentes internacionales que no son contactos existentes”, colocando estos mensajes en una carpeta “Spam y bloqueados” para minimizar su visibilidad.

Implicaciones generalizadas: ataques de phishing dirigidos a empresas y particulares

El kit de phishing Xiū gǒu no es la única amenaza en circulación. Cisco Talos también ha revelado una campaña de phishing en curso dirigida a los titulares de cuentas comerciales y publicitarias de Facebook en Taiwán. Esta campaña distribuye malware ladrón, incluidos Lumma y Rhadamanthys, que puede recopilar información confidencial y comprometer las cuentas comerciales. Las víctimas reciben un correo electrónico que dice ser del departamento legal de una empresa, exigiendo la eliminación de contenido presuntamente infractor bajo amenaza de acciones legales. Un enlace malicioso dentro del correo electrónico descarga un archivo PDF falso, infectando el dispositivo de la víctima con malware.

Además, se han visto campañas de phishing recientes en las que se suplanta la identidad de OpenAI, con mensajes enviados a destinatarios comerciales de todo el mundo instándolos a actualizar su información de pago. Estos correos electrónicos, enviados desde un único dominio a miles de destinatarios, utilizan múltiples hipervínculos dentro del cuerpo del correo electrónico para evadir la detección. A pesar de ser sospechosos, estos correos electrónicos pasan las comprobaciones DKIM y SPF, y parecen legítimos tanto para los destinatarios como para los sistemas de seguridad de correo electrónico automatizados.

Por qué los kits de phishing como Xiū gǒu son peligrosos para todos

Los kits de phishing como Xiū gǒu reducen la barrera de entrada, lo que permite que incluso los cibercriminales novatos lancen ataques de phishing exitosos con un mínimo de conocimientos técnicos. El panel de administración de Xiū gǒu y su interfaz fácil de usar hacen que sea fácil para los atacantes monitorear sus sitios falsos, recolectar credenciales y atacar a las víctimas en masa. A medida que estos kits se vuelvan más disponibles y asequibles en los mercados de la web oscura, es probable que aumente la cantidad de ataques de phishing.

Para evitar ser víctimas de estas estafas, los usuarios deben seguir estas prácticas recomendadas de seguridad:

1. Verifique los enlaces cuidadosamente : evite hacer clic en enlaces incluidos en mensajes no solicitados, incluso si parecen provenir de fuentes legítimas. Verifique las URL navegando manualmente al sitio web oficial.
2. Habilite la autenticación de dos factores (2FA) : muchos ataques de phishing buscan credenciales de inicio de sesión. La 2FA agrega una capa adicional de seguridad, lo que dificulta que los atacantes accedan a las cuentas incluso si roban una contraseña.
3. Manténgase informado sobre las funciones de seguridad : con empresas como Google mejorando la seguridad de RCS, los usuarios deben mantener sus aplicaciones actualizadas y aprovechar cualquier nueva función de seguridad que se ofrezca.
4. Desconfíe de las solicitudes urgentes : muchas estafas de phishing crean una sensación de urgencia para presionar a las víctimas. Tenga cuidado cuando los mensajes exigen una acción inmediata, especialmente si implican pagos o verificación de cuentas.

Reflexiones finales

El kit de phishing Xiū gǒu y otras amenazas similares demuestran la evolución del panorama de los delitos cibernéticos. A medida que los kits de phishing se vuelven más avanzados y accesibles, es más importante que nunca que los usuarios se mantengan alerta. Al implementar las mejores prácticas de seguridad y mantenerse al tanto de las amenazas más recientes, tanto las personas como las empresas pueden protegerse contra estos ataques cada vez más sofisticados.