NO nada mas bancomer si no Banorte tambien tiene spam

Ayer recibí un email de BANORTE donde me decían que mi cuenta se había bloqueado por una transacción fraudulenta e inmediatamente entre en pánico... NO PUEDE SER ME ESTAN ROBANDO MI DINEROOOO.......... y en un segundo recobre mi tranquilidad ya que me dije: " Rodolfo, yo no tengo cuentas en BANORTE" A jijo entonces empecé analizar el email y esto fue lo que encontré:

Primeramente lo que hice fue analizar el email y lo que decía y además ver cuantos links o acceso al exterior venían incluidos en el email:

y abajito de este mensaje de bloqueo viene un link sospechoso:

El cual me pide que por motivos de seguridad verifique mis datos porque eh sido bloqueado jejejejeje  pero al poner el link encima de link ese miren lo que aparece en la parte inferior izquierda de mi pantalla:

http://kcn.my/includes/bal01.html

Nota:  para evitar eso hubieran usado onmouseover para que saliera el link banorte.com y se la creyera mas el cliente que es verdadero. :p

  Un link que no es de BANORTE  woowwwwww se quieren poner berracos los que crearon este SPAM  pero se les olvido ocultar esa parte de que no aparezca el link verdadero a donde te redirigirá al darle click y con eso estos creadores de este spam cayeron de mi gracia por que son chafas al no preveer este error que hace que a leguas se vea que no es real el email.

de ahí lo que hice fue seguir viendo el email y me encontré mas link que redirigen al mismo link:

• Términos legales
• Aviso de privacidad 
• www.banorte.com

Neta chavos que no pueden hacer bien las cosas para engañar mejor a la gente? jajajajajajajaj.

  

ANALIZANDO LA CABEZERAS Y BODY DEL EMAIL

Una vez hecho ese análisis a simple vista me puse a ver toda la estructura interna del email  y encontré esta  primera cosa:

 Pues si amigos el emial fue enviado de SUPPORT@VILLE-LECHAMBONFEUGEROLLES.FR  jajajaja no mam.... ya ni la burla perdonan los spammers esto a leguas dice que no es verdadero y entonces hacemos una búsqueda rápidamente en google del dominio y miren lo que me encontré:

jajajajja una comunidad francesa, a chingao    allá tiene sucursales BANORTE?   ahora si les queda a los creadores de este email spam  el nombre de este pueblito frances.....

CHAMBON-NES haber si hacen las cosas bien.  :p  

Sigamos analizando, una vez hecho esto revise mas abajo los links a donde redirigía y miren:

Confirmado amigos jejejej  el link malicioso con el sitios web donde se localiza.

Ahora analizemos  el dominio KCM.my  y encontramos esto:

El sitio esta OFFLINE  pero los folder donde esta el archivo BAL01.HTML están activos:

Para eso abro el folder sin abrir el archivo html malicioso y me da el error 403 que nos  indica que el servidor se niega a permitir la acción solicitada. En otras palabras, el servidor ha podido ser contactado, y ha recibido una petición válida, pero ha denegado el acceso a la acción que se solicita.



Uff creo que ahí la llevamos continuemos analizándolo.......

de ahí veo algo peculiar que es un dominio:

Envios.banorte.com

Le hago un WHOIS y veo que fue creado en GODDADY:

y podemos ver también que esta registrado a nombre de Salvador sierra Hernández.

y amigos esto a leguas se ve que es un SPAM

PERO MUY MAL HECHO.











Suerte para la próxima spammer´s y hechenle mas ganas en hacer mejor las cosas...... ;p



Saludos -> Asesoria en Seguridad, Conferencias, ! contactenme  !

Li. Rodolfo H. Baz
www.rodolfohbaz.net
www.ccat.edu.mx