Reunión de cibercriminales con motivo de la Eurocopa 2012

La Copa de Europa de la UEFA 2012 es el último evento deportivo utilizado por los cibercriminales para persuadir y atraer a los usuarios a sus proyectos maliciosos. Hasta ahora, Trend Micro ha descubierto un sitio malicioso con un nombre de dominio que copia la web oficial de la UEFA Euro 2012 y las páginas web que dirigen a sites de estafas de encuestas y páginas de seguimiento de anuncios.

Mientras se llevaba a cabo una investigación proactiva, el equipo de Trend Micro se fijó en el sitio {BLOCKED}uro2012.com, que trataba de imitar la página oficial de la UEFA. Tras la investigación se ha concluido que este site actualmente aloja varias modalidades de malware, uno de ellos es la variante de un falso antivirus –FAKEAV-, TROJ_FAKEAV.HUU. Una vez ejecutado en el sistema, este código malicioso muestra un resultado del escaneo y análisis del supuesto sistema infectado. Esto puedo solicitar a los usuarios la compra del programa antivirus falso y activación de dicho producto.

La ”página de activación” de FAKEAV es en realidad una página de phishing diseñada para engañar a los usuarios con el fin de que faciliten información sensible. TROJ_FAKEAV.HUU también se ha encontrado para desactivar los navegadores web (Internet Explorer, Mozilla Firefox y Google Chrome).

Este dominio también aloja el archivo TROJ_DLOADR.BGV, que conecta a tres URLs diferentes para descargar una variante de ZBOT conocida como TSPY_ZBOT.JMO. Las variaciones de ZBOT son conocidos ladrones de información especializados en el robo de credenciales de registro de banca on-line.

Blackhat SEO sigue con su racha

Los cibercriminales también han utilizado el partido jugado entre las selecciones de Portugal y República Checa el pasado día 21 como su táctica de ingeniería social para Blackhat Search Engine Optimization (BHSEO).

Cuando los usuarios buscaban palabras clave como “Ver Portugal vs República Checa en directo”, el site malicioso aparecía como uno de los primeros resultados de la búsqueda. En el momento en que los usuarios accedían a él, eran redireccionados a una página de “ofertas de vídeo” en lugar de a la retransmisión del vídeo del partido. Si los usuarios eligen la oferta, sin saberlo, van a acceder a páginas afiliadas a dicho site que se dedican al rastreo de la ubicación del usuario y de su dirección IP. De este modo, los estafadores pueden ganar dinero con tan sólo utilizar detalles como la página de visitas a sus anuncios.

Otro ataque similar aprovechó el partido que Italia e Inglaterra jugaron el día 24 de junio. El site {BLOCKED} glandvsitalylivestreameuro2012online.com redirige a los usuarios a http://www.{BLOCKED}og.com/2012/06/england-vs-italy-live-stream/, que supuestamente ofrece la retransmisión en directo del evento. En realidad, la página sólo conduce al usuarios a una web de estafa mediante encuestas que, finalmente, dirige a sites para abonados y de rastreo.