🚨🇨🇱 ALERTA: Phishing en Chileautos revela expansión de campaña internacional. Usuarios de Chileautos están siendo objetivo de una campaña de #phishing dirigido que abusa de las funcionalidades de comunicación de la propia plataforma para generar confianza y conducir a las víctimas hacia sitios maliciosos. 💰 Campaña: #TRUSTMARKET. 🎯 Técnica: Trusted Transaction Phishing (TTPH). El atacante no necesita suplantar inicialmente a Chileautos, utiliza la confianza que el usuario ya deposita en una plataforma legítima para ejecutar el engaño. Junto a @Huntr3ssX subimos parte de la investigación al blog de CronUp: cronup.com/phishing-en-chile… 💪

⚠️🇨🇱 Dos tiendas falsas utilizadas en esta campaña de fraude bancario son "USA Fitness" usafitness[.]cl y "ADN Nutrition" adnnutrition[.]cl. El flujo es conocido: 1️⃣ La víctima llega desde anuncios pagados en Meta. 2️⃣ Ve ofertas agresivas en proteína/suplementos (puede ser cualquier cosa). 3️⃣ Al "pagar", es redirigida a las pasarelas fraudulentas: → compraraqui[.]cl → ventawebpay[.]com Los sitios están optimizados para móviles y replican el flujo WebPay/bancario, parecido al dominio actual detectado por @tial_cl. Las tiendas que comparto pertenecen a una campaña anterior, son sitios casi iguales, plantilla one-page, tienen comentarios y productos en duro y algunas emiten hasta comprobante de compra. Al parecer, están en esto de las estafas con páginas falsas desde hace varios años, solo que ahora se están "actualizando". Una de las cuentas de Instagram tiene 14 cambios de username 😂 (y siguen operando...)

🔥 Ok, levantamos una herramienta simple pero potente, permite consultar si un RUT determinado aparece en la filtración de casi 250.000 credenciales de #ClaveUnica expuestas en Telegram (#Rutify). 🔹 leaks.cronup.com/ 📢 Si puedes, COMPARTE, quizás alguien cercano lo necesite y aún no lo sepa.

⚠️🇨🇱 Nueva campaña dirigida a Chile conduce a la instalación de software de acceso remoto legítimo y firmado como LogMeIn y Atera. A pesar del uso recurrente en actividades maliciosas, ni Defender ni muchas otras herramientas de seguridad las clasifican como amenazas 😐 Las descargas se realizan desde un open S3 bucket en: https://subenvio.t3[.]storage[.]dev/. Hasta el momento, van 719 accesos desde 589 organizaciones/correos distintos. [+] raw.githubusercontent.com/Cr…. El email configurado en el agente Atera nos da pistas sobre el origen de esta operación (🇧🇷) H/T @Huntr3ssX

1/ 🚨🇨🇱 Alerta por comportamiento anómalo en el registro de dominios .CL . H/T @Cronup_CyberSec 👁️ Se trata de una serie de dominios sospechosos compuestos de 5 letras aleatorias, registrados con poca diferencia de tiempo, utilizando el mismo agente registrador y la misma configuración DNS. En 3 días registraron más de 100 dominios, los cuales (dependiendo del visitante/dispositivo), redirigen a la descarga de una App maliciosa disponible para Android e iOS. Ambas piden desactivar la seguridad para instalar ⚠️ Todo indica que corresponde a una campaña a nivel mundial, de origen chino 🇨🇳 y asociada a sitios pornográficos. [+] Sample (Android): virustotal.com/gui/file/9d62…

🚩 Interesante campaña de #phishing de credenciales corporativas vista en Chile 🇨🇱 llega a través de solicitudes de reunión con documento HTM adjunto. Asunto: "Thank You for Renewing Your Microsoft Office365 Subscription" (puede cambiar). ¿Cómo funciona? 1.- Los atacantes envían una invitación de reunión (calendar invite) utilizando Outlook, Google Calendar u otro sistema compatible con iCalendar (.ics). 2.- La invitación contiene un adjunto o link malicioso. 3.- En algunos casos (dependiendo de la configuración), el evento se agrega automáticamente al calendario de la víctima. 4.- Como se trata de una notificación legítima del sistema de calendario, muchas veces no pasa por los filtros antispam habituales (aka bypass). Dominios de origen de las invitaciones de reunión: aceh4dlast[.]boats acehsport[.]wiki gezenkalem[.]com tutorialshock[.]com atlantafurnituremart[.]com sabellaphoto[.]com aceh4dterbaik[.]life aceh4dmxwin[.]world aceh4dreal[.]pro acehbolaskill[.]cfd acehbolasolusi[.]cyou tus4djackpot[.]com aceh4dplay[.]world aceh4dice[.]live acehsportlive[.]art acehbolaplays[.]space apartement[.]id aceh4dskill[.]cloud acehbola[.]shop acehbolaind[.]click acehbolaupslot[.]xyz bacan4dbegadang[.]pics aceh4dpilihan[.]xyz acehbolaeuro[.]site aceh4dplace[.]cyou aceh4dgreen[.]xyz mediterraneanbeaches[.]com aceh4dseru[.]top terminalbetresmi[.]com pocari-4d[.]com magicalfourseasons[.]com asayamind[.]com environmentalistonline[.]com couponornot[.]com imagebarn[.]com cerrajerosvalencia24horaslow[.]com conchobar[.]com aceh4dofficial[.]com camchatscript[.]com aceh4dhappy[.]cfd homegrownhandmade[.]com

🚨 PVI: gracias a @Huntr3ssX y @V3n0mStrike ahora sabemos que esta campaña también apunta a clientes de LATAM Airlines y Movistar 🇨🇱 "Tus puntos están por caducar". Algunos dominios utilizados: - latamalirines[.]sbs - movistai[.]top - movistarr[.]vip + Panel de Admin 🇨🇳

🔴 Y llegó el día... ponen en venta la supuesta información robada al Banco/Grupo Santander. Según el actor de amenaza, los registros incluyen (entre muchos otros): ▪ 30 millones de datos de clientes. ▪ 64 millones de datos de cuentas y saldos. ▪ 28 millones de tarjetas de crédito. (‼️) ▪ Listas de empleados de RRHH. Valor: 30 BTC ($2 million USD). * En la muestra de los archivos también hay uno que se llama "mail_pw.csv" 🤔

🚨 La página de Facebook del Club de Fútbol Universidad de Chile (@udechile) fue comprometida para distribuir una campaña de #phishing que busca secuestrar cuentas a través de la opción "Facebook para dispositivos" (developers.facebook.com/docs…), interesante método 🧐 Al parecer, es una campaña de origen brasileño. Algunos dominios involucrados: - agency-social.pages.mus[.]br/supportusersercurity - supportmetaagency.everythingbench[.]com/ - socail.pages.mus[.]br/agencymetasupportuser - dongkhung.abqbilliards[.]com/ Sin embargo, hay muchos más si buscamos por el dominio principal pages.mus[.]br (el kit es multilenguaje) > urlscan.io/search/#pages.mus… 🎣