Se ha detectado una nueva campaña fraudulenta que se hace pasar por el Servicio de Impuestos Internos (SII). Esta campaña utiliza correos electrónicos maliciosos que, según los expertos, circularon durante la tarde de este lunes. La principal diferencia con otras campañas, es que los atacantes habrían enviado los correos maliciosos a través de los servidores legítimos del 𝗦𝗲𝗿𝘃𝗶𝗰𝗶𝗼 𝗱𝗲 𝗜𝗺𝗽𝘂𝗲𝘀𝘁𝗼𝘀 𝗜𝗻𝘁𝗲𝗿𝗻𝗼𝘀.
En este blog te contamos en qué consistió la campaña, cuáles son los impactos y qué medidas puedes tomar dentro de tu organización.
Los correos son dirigidos, contienen el nombre de las empresas asociadas al RUT y el correo específico de contacto. El contenido del correo alude a un supuesto trámite de "Orden de Cierre de Giro" e incorpora un enlace para consultar más información, solicitando que se haga clic en un enlace para revisar un documento PDF adjunto.
Al hacer clic, se descarga un PDF malicioso que contiene un malware conocido como Lumma. Durante un momento de la operación, los atacantes también utilizaron una vulnerabilidad de tipo "open redirect" presente en el sitio web de la Tesorería General de la República y la técnica de ingeniería social #ClickFix para redirigir a los usuarios a las descargas maliciosas.
Lumma Stealer es un malware que funciona bajo el modelo malware-as-a-service (MaaS) y es sofisticado, instalándose sin que el usuario lo note, generalmente a través de correos electrónicos falsos o descargas de programas no confiables
El impacto principal es la potencial infección de los dispositivos de los destinatarios con el malware Lumma Stealer. Una vez instalado, Lumma busca y roba información sensible.
Según el análisis, este tipo de malware roba credenciales (de navegador, Discord, Telegram, FTP, VPN), cookies de sesión (lo que permite el secuestro de cuentas) y criptomonedas (wallets o extensiones). Posteriormente, envía esta información a los criminales que pueden usarla para acceder a cuentas y robar dinero o información personal.
El Servicio de Impuestos Internos hizo un llamado a todos los contribuyentes a tener el máximo de precaución frente a este tipo de comunicaciones. Solicitó proceder a la eliminación del correo si han recibido uno similar.
Si existe la posibilidad de que algún usuario de su organización haya instalado el malware (es decir, hizo clic en el enlace y siguió alguna instrucción), se deben tomar las siguientes medidas:
Para nuestros clientes con Servicios Administrados, Widefense realiza las siguientes acciones frente a ataques:
Adicionalmente, concientizar a los colaboradores en materia de ciberseguridad es esencial para evitar de raíz el impacto de estas amenazas en su organización.
https://csirt.gob.cl/alertas/aia25-00004/