Campaña de Phishing Apunta a Usuarios Móviles con PDFs Maliciosos

Una nueva campaña de phishing está dirigida a usuarios móviles al hacerse pasar por el Servicio Postal de Estados Unidos (USPS) y utilizando falsos documentos PDF para robar información sensible. Hoy, los investigadores de seguridad en zLabs de Zimperium detallaron esta campaña, que utiliza tácticas avanzadas de ingeniería social y un novedoso método para ocultar enlaces maliciosos dentro de los PDFs.

La campaña funciona enviando mensajes de SMS que contienen archivos adjuntos de PDF que parecen legítimos. Estos PDF parecen inofensivos pero incluyen enlaces ocultos que redirigen a los usuarios a sitios web de phishing. Se insta a las víctimas a proporcionar información personal, como su nombre, dirección, correo electrónico y número de teléfono.

Al aprovechar la confianza que los usuarios depositan en los PDF como documentos seguros y profesionales, los atacantes han logrado evadir la detección de muchos sistemas de seguridad tradicionales.

Los investigadores señalan que los PDF son un elemento básico en la comunicación empresarial, apreciados por su compatibilidad y capacidad para mantener el formato. Sin embargo, esta popularidad también los convierte en un objetivo principal para los ciberdelincuentes.

Los PDF maliciosos pueden incorporar enlaces, scripts u otros contenidos dañinos que resultan difíciles de detectar, especialmente en dispositivos móviles, donde los usuarios suelen previsualizar archivos con un escrutinio limitado.

La investigación de Zimperium reveló una operación a gran escala que involucraba más de 20 archivos PDF maliciosos y 630 páginas de phishing, afectando a usuarios en más de 50 países. La campaña emplea una técnica de evasión única para ocultar enlaces maliciosos, eludiendo muchas herramientas de seguridad de punto final.

A diferencia de los métodos estándar que utilizan enlaces visibles, estos PDF ocultan las URL dentro de su estructura, lo que hace que el ataque sea más difícil de detectar, como señala el análisis de Zimperium.

Cuando las víctimas hacen clic en los enlaces incrustados, son llevadas a sitios web falsos de USPS diseñados para parecer auténticos. Estas páginas de phishing solicitan detalles personales bajo el pretexto de resolver problemas de entrega. Sin defensas avanzadas contra amenazas móviles, tales ataques pueden conducir a violaciones de datos, robo de credenciales y pérdidas financieras.

Esta campaña resalta la creciente necesidad de soluciones de seguridad avanzadas para proteger contra ataques de phishing cada vez más sofisticados que se dirigen a dispositivos móviles.