Hace unos días, Kaspersky publicaba un informe en el que señalaba que Telegram se había convertido en una "sucursal de la darkweb", y advertían que este tipo de actividades han crecido en el último año y medio en la aplicación. "Al relacionarse a través de Telegram, los delincuentes pueden comunicarse de manera privada y segura, algo que dificulta la labor de las autoridades para identificarlos y detenerlos", explica Marc Rivero. Así, enfatiza que han podido descubrirlos porque están "ubicados en el mismo dominio o comparten elementos de código".

Telegram goza de especial popularidad entre los creadores de phishing, que utilizan con gran habilidad las capacidades del mensajero tanto para automatizar sus actividades como para proporcionar diversos servicios a todos los interesados, desde la venta de kits de phishing (kits para crear páginas de phishing) hasta ayuda para preparar campañas de phishing personalizadas.

Para promocionar su “producto”, los phishers crean canales de Telegram donde, en formato de blog, informan a la audiencia sobre las novedades en la creación de phishing y entretienen a los suscriptores con encuestas al estilo de “¿Qué tipo de datos personales prefiere?”. Los enlaces a sus canales se distribuyen a través de YouTube, GitHub, y también junto con los kits de phishing que crean.

Materiales gratuitos para phishers principiantes

Creación automática de phishing en bots de Telegram

Los bots en Telegram, gracias a sus flexibles funciones, ayudan a los usuarios y empresas a automatizar muchos procesos rutinarios, por ejemplo, buscar y obtener información de forma regular, responder a las preguntas frecuentes de los clientes, configurar recordatorios, y un largo etc. A su vez, con la ayuda de bots de Telegram, los atacantes automatizan actividades ilegales, como la creación de páginas de phishing y la recopilación de datos de usuarios.

Algunos de estos canales de Telegram son totalmente públicos, pero otros son privados, así que los enlaces de acceso se distribuyen a través de plataformas como YouTube o GitHub, además de foros especializados o, incluso, la propia aplicación de mensajería. Uno de los grupos que sigue esta dinámica es Legion, descubierto por Matt Muir, investigador de la firma de ciberseguridad Cado. A través de su canal de YouTube se pueden ver tutoriales como este, además de incluir un link al grupo de Telegram. En él, hay ya cerca de 1.200 miembros, aunque este estudio rastreó también otros grupos. En total, sumaban unas 5.000 personas. 

Uno de los aspectos más novedosos es que la situación haya llegado al punto de ofrecer servicios gratuitos como cebo. "Si quieres servicios extra, como que actualicen los sistemas antibloqueo para que los sistemas de bloqueo no capten el phishing malicioso, te cobran un extra, como si fuera un servicio premium", comenta Daniel López, analista de ciberseguridad, que lleva tiempo investigando estas operativas y publicando los hallazgos en su cuenta de Twitter.

No es lo único llamativo de esta tendencia. "Para promocionar su producto, los phishers crean canales de Telegram donde, en formato de blog, informan a la audiencia sobre las novedades en la creación de phishing y entretienen a los suscriptores con encuestas al estilo de '¿Qué tipo de datos personales prefieres?", explican en el informe de Kaspersky. 

 Los servicios que ofrecen van desde campañas personalizadas a los conocidos como kits de phishing, es decir, un conjunto de herramientas para crear esos ataques de forma sencilla que se envía en un archivo tipo .zip. "Al recibirlo, el primer paso es configurar el sitio web de phishing falso utilizando los archivos proporcionados en el kit. Una vez hecho, se deben personalizar los correos electrónicos", incide Rivero, que recalca que, a veces, también se incluye "plantillas de correo electrónico que se pueden personalizar con detalles relevantes sobre la víctima y el objetivo del ataque".

Phishing as a service

"Después de ese paso, lo siguiente es enviarlo a la lista de destinatarios y, cuando una víctima accede al sitio web falso, se le pedirá que proporcione su información personal o de inicio de sesión. Una vez lo hagan, la herramienta de phishing la recopilará automáticamente y la enviará al atacante, que puede utilizar la información recopilada para acceder a las cuentas de la víctima o cometer otros delitos", desarrolla el investigador de Kaspersky. El cliente de este phishing as a service, por cierto, recibe la información sustraída a través del propio Telegram. 

 "Además, algunos atacantes ponen a disposición del público archivos con datos. Si un aspirante a phisher quiere generar contenido más diverso, puede descargar kits de phishing dirigidos a muchas organizaciones", continúa Rivero. "Lo más probable es que utilicen a los principiantes para sus propios fines, porque sus creadores también pueden obtener datos personales extraídos con la ayuda de kits de phishing y bots", añade, antes de destacar que luego pueden "realizar transacciones fraudulentas con las cuentas bancarias de las víctimas".

Una de las últimas estafas distribuidas a través de esta operativa ha sido la suplantación de la Agencia Tributaria mediante SMS. "Los bots te lo dan todo hecho, incluyendo una base de datos de usuarios a los que puedes mandar el phishing, y tú ya eliges qué tipo de campaña lanzar y a quién", explica López, que fue uno de los primeros en poner sobre aviso sobre esta campaña y, avisa, ha sido creada con el mismo kit que otras anteriores que afectan a empresas de mensajería; en especial, Correos. 

Fuentes:
https://www.elconfidencial.com/tecnologia/2023-04-26/ciberataque-phishing-gratis-telegram-robos-online_3613307/

https://securelist.lat/telegram-phishing-services/97767/