HTML/Citifraud.A. Timo al Citibank en forma de virus

Nombre: HTML/Citifraud.A
Tipo: Virus HTML
Alias: HTML CITIFRAUD.A, Frame Spoof Exploit
Fecha: 11/ene/04
Plataforma: Windows 32-bit
Tamaño: 5,928 bytes
Reportado por: Trend Micro

Se ha reportado a última hora del domingo 11 de enero de 2004, un mensaje enviado en forma de spam, que simula ser una notificación urgente de Citibank a sus clientes, en donde se le pide a los mismos que ingresen a sus cuentas para comprobarlas. De hacerlo, esta información será redirigida a un pirata.

El mensaje explota una vieja vulnerabilidad del Internet Explorer (diciembre de 1998), que no afecta las versiones más actuales del mismo (Frame Spoof Vulnerability).

El mensaje, en formato HTML y con el logo del banco, se presenta con estas características:

De: Citibank
Asunto: Important Fraud Alert from Citibank

Texto del mensaje:

Dear Citibank Account Holder,

On January 10th 2004 Citibank had to block accounts
in our system connected with money laundering,
credit card fraud, terrorism and check fraud
activity. The information in regards to those
accounts has been passed to our correspondent
banks, local, federal and international authorities.

Due to our extensive database operations some
accounts may have been changed. We are asking our
customers to check their checking and saving
accounts if they are active or if their current
balance is correct.

Citibank notifies all it's customers in cases of
high fraud or criminal activity and asks you to
check your account's balances. If you suspect or
have found any fraud activity on your account
please let us know by logging in at the below.

                         [ Click Here To Login ]

Cuando el usuario pincha en el enlace con forma de botón [Click Here To Login], se abre en el Explorer, una página web idéntica a la del banco para que el usuario pueda ingresar a su cuenta y comprobarla. Para ello, debe ingresar sus datos (ATM/Debit Card, PIN, etc.).

La vulnerabilidad "Frame Spoof", permite a un usuario malicioso crear una página que simule ser la de un sitio web legítimo, metiendo el contenido de un marco (frame) dentro de una ventana. De ese modo el pirata puede obtener para si, la información ingresada por el usuario en dicha ventana. Esto afecta sitios normales (HTTP) y seguros (HTTPS), en versiones del Internet Explorer 4.0 e inferiores.


Para limpiar el virus

Sólo borre el mensaje indicado.

NOTA: Aunque este mensaje también puede clasificarse como SCAM por sus características, el hecho de que el mensaje utilice un exploit para una conocida vulnerabilidad, hace que muchos antivirus lo identifiquen como virus.


Para tener en cuenta:

1. Desconfíe siempre de un mensaje como el indicado. Cerciórese antes en los sitios principales, aún cuando el mensaje parezca "real". Toda vez que se requiera el ingreso de información confidencial, no lo haga sin estar absolutamente seguro.

2. Preste atención al hecho de que cualquier compañía responsable, le llevará a un servidor seguro para que ingrese allí sus datos, cuando estos involucran su privacidad. Una forma de corroborar esto, es observar si la dirección comienza con https: en lugar de solo http: (note la "s" al final). Un sitio con una URL https: es un sitio seguro. Pero recuerde que eso solo significa que las transferencias entre su computadora y el sitio serán encriptadas y protegidas, de ningún modo le asegura que el sitio es real.

Note que el servidor seguro, no necesariamente es al que usted ingresa cuando entra a un sitio como el de un banco. Pero si debe serlo en el momento en que ese sitio lo lleve a algún formulario para ingresar datos confidenciales.

Compruebe SIEMPRE, si al colocar el puntero del ratón sobre cualquier dirección indicada en un mensaje (sin hacer clic), el Outlook Express le muestra abajo la misma dirección.

3. Una vez en un sitio seguro, otro indicador es la presencia de un pequeño candado amarillo en el rincón inferior a su derecha. Un doble clic sobre el mismo debe mostrarle la información del certificado de Autoridad, la que debe coincidir con el nombre de la compañía en la que usted está a punto de ingresar sus datos, además de estar vigente y ser válido.

4. Si aún cumpliéndose las dos condiciones mencionadas, duda de la veracidad del formulario, no ingrese ninguna información, y consulte de inmediato con la institución de referencia, bien vía correo electrónico (si es una dirección que siempre usó), o mejor aún en forma telefónica.

De todos modos, recuerde que prácticamente es una norma general, que NINGUNA institución responsable le enviará un correo electrónico solicitándole el ingreso de alguna clase de datos, que usted no haya concertado previamente.

En caso de que por cualquier motivo se hubieran facilitado las claves, estas deberán ser cambiadas de forma inmediata, debiéndose poner el usuario en contacto con la institución correspondiente a la brevedad posible.

Glosario:

SCAM - Engaño con intención de estafa o fraude, que mezcla el correo no solicitado (SPAM) con un HOAX (bulo o broma).

PHISHING - Técnica utilizada para obtener información confidencial mediante engaños (generalmente por medio de un "scam", mensaje electrónico fraudulento, o falsificación de página web).

(c) Video Soft
(c) VSAntivirus