Estafa per correu electrònic disponible amb l'extracte electrònic de l'Administració de la Seguretat Social

Els ciberdelinqüents utilitzen sovint campanyes de correu electrònic convincents per enganyar els destinataris perquè obrin fitxers maliciosos, revelin informació confidencial o instal·lin programari maliciós. Per aquest motiu, és essencial anar amb compte sempre que arribi un correu electrònic inesperat, especialment quan afirma contenir documents importants o notificacions urgents. Els correus electrònics del tipus "Hi ha disponible un extracte electrònic de l'Administració de la Seguretat Social" són un exemple perfecte d'aquesta tàctica. Aquests missatges són fraudulents i no estan associats a cap empresa, organització, agència governamental o entitat legítima. El seu únic propòsit és infectar els dispositius de les víctimes i proporcionar als atacants accés no autoritzat.

Una mirada més detallada a l’estafa

L'anàlisi dels correus electrònics "Social Security Administration eStatement Is Available" ha revelat que formen part d'una campanya de correu brossa maliciosa dissenyada per suplantar l'Administració de la Seguretat Social (SSA). Els correus electrònics informen falsament els destinataris que el seu extracte de la Seguretat Social del 2026 està disponible per descarregar.

Per fer que el missatge sembli autèntic, els estafadors inclouen detalls com ara un identificador de referència, una data i un botó "Descarrega l'extracte electrònic" que es mostri en un lloc destacat. Aquests elements tenen com a objectiu crear una sensació de legitimitat i animar els destinataris a confiar en el correu electrònic. Tanmateix, la veritable Administració de la Seguretat Social no hi té cap mena d'implicació en aquests missatges.

L'objectiu de la campanya és atraure els destinataris perquè facin clic al botó proporcionat, cosa que inicia la següent fase de l'atac.

El portal de verificació fals

Els destinataris que fan clic al botó de descàrrega són redirigits a un lloc web fraudulent dissenyat acuradament per semblar-se a una pàgina oficial de la SSA. En arribar, els visitants reben un missatge que indica que cal verificar la identitat i que han d'interactuar amb un control lliscant per iniciar el procés de descàrrega del document.

En lloc de proporcionar un extracte de la Seguretat Social, el lloc web lliura automàticament un fitxer anomenat "ScreenConnect.ClientSetup.msi" al dispositiu del visitant. El lloc també mostra un avís que afirma que només es pot accedir als documents a través d'ordinadors basats en Windows. Aquesta restricció és intencionada, ja que ajuda els atacants a atacar els usuaris de Windows i augmenta la probabilitat que l'instal·lador maliciós funcioni correctament.

El procés de verificació no té cap propòsit legítim i existeix únicament per fer que la descàrrega sembli fiable.

Com funciona l’instal·lador maliciós

El fitxer descarregat conté una versió modificada de ScreenConnect, també conegut com a ConnectWise Control. En circumstàncies normals, ScreenConnect és una eina legítima d'escriptori remot i suport que utilitzen àmpliament professionals i organitzacions de TI.

En aquesta campanya, però, el programari s'ha modificat i configurat per establir silenciosament una connexió amb servidors controlats pels atacants. Un cop instal·lada i executada, l'aplicació troiana atorga als actors amenaçadors accés remot sense supervisió al sistema compromès.

Aquest nivell d'accés permet als atacants dur a terme una àmplia gamma d'activitats malicioses sense el coneixement de la víctima.

Els perills del compromís remot del sistema

Quan els atacants obtenen accés remot a través de programari maliciós, les conseqüències poden ser greus. Poden ser capaços de:

• Superviseu les activitats de la víctima i vegeu tot el que es mostra a la pantalla.
• Robar documents, credencials d'inici de sessió, informació bancària i altres dades sensibles.
• Instal·lar programari maliciós addicional, com ara ransomware, spyware o amenaces de robatori d'informació.
• Manipular fitxers i configuracions del sistema.
• Realitzar transaccions financeres no autoritzades o fer un ús abusiu de comptes en línia compromesos.

Qualsevol ordinador en què s'hagi executat l'instal·lador maliciós de ScreenConnect s'ha de considerar completament compromès. Calen mesures de resposta immediata a incidents per contenir l'amenaça i evitar més danys.

Com els correus electrònics brossa distribueixen programari maliciós

La campanya "Hi ha disponible un extracte electrònic de l'Administració de la Seguretat Social" demostra una estratègia habitual de distribució de programari maliciós que utilitzen els ciberdelinqüents. Els correus electrònics brossa maliciosos generalment propaguen programari maliciós a través d'adjunts o enllaços incrustats.

Els fitxers adjunts poden arribar en diversos formats, com ara documents de Microsoft Office, fitxers PDF, arxius ZIP, fitxers executables i scripts. Algunes infeccions de programari maliciós comencen tan bon punt s'obre el fitxer, mentre que d'altres requereixen que els destinataris activin macros o realitzin accions addicionals.

De la mateixa manera, els enllaços maliciosos sovint dirigeixen els usuaris a llocs web disfressats de portals de documents segurs, serveis de verificació o pàgines de descàrrega. Aquests llocs estan dissenyats per persuadir els visitants perquè descarreguin i executin fitxers nocius. En alguns casos, les descàrregues comencen automàticament, mentre que en altres, s'utilitzen tècniques d'enginyeria social per convèncer les víctimes perquè llancin el programari maliciós elles mateixes.

Reconèixer els senyals d’alerta

Diverses característiques poden ajudar a identificar estafes d'aquesta naturalesa:

• Correus electrònics inesperats que afirmen que documents governamentals, financers o legals importants estan disponibles per a la seva descàrrega immediata.

• Missatges que creen urgència o fomenten una acció ràpida sense verificació independent.

• Enllaços que condueixen a pàgines de verificació abans que es concedeixi l'accés al suposat document.

• Sol·licituds per descarregar programari per tal de visualitzar documents o completar procediments de verificació.

• Restriccions inusuals, com ara afirmacions que només es pot accedir al contingut des de sistemes operatius o dispositius específics.

Reconèixer aquests indicadors pot ajudar a prevenir l'exposició accidental a programari maliciós i altres amenaces cibernètiques.

Avaluació final

La campanya de correu electrònic "Social Security Administration eStatement Is Available" és un perillós esquema de distribució de programari maliciós que suplanta l'Administració de la Seguretat Social per guanyar-se la confiança de les víctimes. En lloc de proporcionar un extracte anual, l'estafa redirigeix els destinataris a un portal de verificació fals que descarrega un instal·lador ScreenConnect amb troians.

Un cop executat, el programari maliciós atorga als atacants accés remot al sistema afectat, cosa que pot provocar robatori de dades, comprometre el compte, pèrdues financeres i altres infeccions de programari maliciós. Els destinataris que rebin aquests correus electrònics els han d'eliminar immediatament i evitar fer clic a cap enllaç o descarregar cap fitxer contingut al missatge.