Investigadores de seguridad de CloudSEK estuvieron analizando un aumento en el uso de servicios de tunelización inversa junto con acortadores de URL para realizar campañas de phishing a gran escala, lo que hace que la actividad maliciosa sea más difícil de detener. 

Acortadores URL: consideraciones a tener en cuenta

Las URL acortadas nacen en el año 2001, de la mano de ciertas aplicaciones como las redes sociales, que solo permitían por aquel entonces el envío de mensajes de un número reducido de caracteres.

Posteriormente, su uso se ha extendido, principalmente en los SMS para acortar URL que se introducen en los mismos. También se utiliza mucho en plataformas como Twitter, ya que solo permite publicar mensajes de 280 caracteres. Cabe destacar que actualmente Facebook, Twitter, LinkedIn y YouTube contienen recortadores de URL integrados en su propio servicio para facilitar esta tarea a los usuarios.

t.co

fb.me

Por tanto, una URL acortada es solamente una dirección web con menos caracteres que la dirección de la página web original, pero que nos dirige al mismo sitio. A parte de los servicios integrados en las propias redes sociales, existen otras plataformas que permiten acortar URL de manera gratuita, como son Ow.ly, Buffer o TinyURL.

La URL original (enlace) pasa a ser más corta, es decir, a tener menos caracteres. Gracias a su reducción, la nueva URL es más práctica y a nivel estético queda mejor que un enlace que ocupe dos líneas. Por contra, no nos proporciona información de la página a la que nos redirige y contiene delante el nombre de TinyURL.

A pesar de que estos enlaces son muy útiles, a menudo son utilizados por los ciberdelincuentes. ¿Por qué? Como hemos mencionado anteriormente, no sabemos el lugar al que vamos a acceder cuando pulsemos sobre un enlace acortado, ya que para saber el destino de esa URL no basta con pasar el cursor por encima del enlace. De hecho, si pasamos el cursor por encima del enlace solo veremos el enlace acortado, pero no su destino real. Por tanto, aprovechan esta situación para engañar a los usuarios.

¿Todas las URL acortadas suponen un peligro? No, pero sí es importante que seamos conscientes de ellos y tomemos precauciones:

1. En primer lugar, debemos ser cuidadosos con los enlaces acortados aunque se hayan generado con servicios conocidos. Como ya hemos explicado, los ciberdelincuentes se apoyan en estos para esconder webs maliciosas sin que el usuario se percate de ello.
2. Podemos instalar un complemento en el navegador, como es el caso de Unshorten.link para Chrome que nos permita conocer la dirección original a la que nos lleva el enlace acortado. Además, detecta si puede contener malware o si puede tratarse de un phishing. Por otra parte, también existe para el navegador Mozilla Firefox la extensión Link Unshorten que realiza la misma función que la anterior para Chrome.

   Es interesante hacer uso de estas herramientas por todo lo anterior y porque los enlaces recortados se utilizan con finalidades de marketing online, es decir, las empresas los utilizan para elaborar perfiles de usuarios. Esta información puede ser utilizada también por ciberdelincuentes con otras finalidades, como, por ejemplo, localizar geográficamente a un usuario a través de la dirección IP.

3. Un analizador de direcciones web o URL nos permite analizar la URL que nos han enviado o a la que pretendemos acceder. Nos mostrará información útil como su URL completa, un resumen de la información que tendrá la página web accederemos y, además, realiza un análisis de malware. Por ejemplo para averiguar el enlace original y mucho más podemos hacer uso de dos analizadores de URL online totalmente gratis como VirusTotal y URLVoid.

Tunelización

En un informe los investigadores dicen que encontraron más de 500 sitios alojados y distribuidos de esta manera. Esta práctica se desvía del método más común de registrar dominios con proveedores de alojamiento, que probablemente respondan a las quejas y eliminen los sitios de phishing.

Con los túneles inversos, los actores de amenazas pueden alojar las páginas de phishing localmente en sus propias computadoras y enrutar las conexiones a través de un servicio externo y, con un servicio de acortamiento de URL, pueden generar nuevos enlaces con la frecuencia que deseen para eludir la detección.

• Muchos de los enlaces de phishing se actualizan en menos de 24 horas, lo que hace que rastrear y eliminar los dominios sea una tarea más desafiante.

Los servicios de túnel inverso más abusados ​​son Ngrok, Localhost.run y ​​Argo de Cloudflare. También vieron que los servicios de acortamiento de URL de Bit.ly, is.gd y cutt.ly eran más frecuentes. 

Los servicios de túnel inverso protegen el sitio de phishing al manejar todas las conexiones al servidor local en el que está alojado. De esta forma, cualquier conexión entrante es resuelta por el servicio de túnel y reenviada a la máquina local del delincuente. Las víctimas que interactúan con estos sitios de phishing terminan con sus datos confidenciales almacenados directamente en la computadora del atacante.

Mediante el uso de acortadores de URL, el actor de amenazas enmascara el nombre de la URL, que suele ser una cadena de caracteres aleatorios. Así, un nombre de dominio que levantaría sospechas se oculta en una URL corta. Los delincuentes están distribuyendo estos enlaces a través de canales de comunicación populares como WhatsApp, Telegram, correos electrónicos, mensajes de texto o páginas de redes sociales falsas. 

Vale la pena señalar que el mal uso de estos servicios no es nuevo. Por ejemplo, Cyble presentó evidencia de abuso de Ngrok en febrero de 2021. Sin embargo, según los hallazgos de CloudSEK, el problema está empeorando.

Un ejemplo de una campaña de phishing que abusaba de estos servicios que CloudSEK detectó fue hacerse pasar por YONO, una plataforma de banca digital ofrecida por el State Bank of India. La URL definida por el atacante estaba oculta detrás de "cutt[.]ly/UdbpGhs" y conducía al dominio "ultimate-boy-bacterial-generates[.]trycloudflare[.]com/sbi" que usaba el servicio de tunelización Argo de Cloudflare. Esta página de phishing solicitaba credenciales de cuentas bancarias, números de tarjetas PAN, y números de teléfonos móviles. 

Fuentes: 

https://www.osi.es/es/actualidad/blog/2022/06/22/url-acortadas-consideraciones-tener-en-cuenta

  BC