Una falsa invitación a Windows Live Mail propaga un troyano

Ya se han detectado falsas invitaciones que proponen al usuario acceder al nuevo servicio de Microsoft. Pero si se hace clic en un botón que indica el enlace a una demostración del sitio, en realidad se descarga una variante de la familia de troyanos del tipo Banker (en este caso Win32/Spy.Banker.AHY, según indica NOD32).

Aunque no es nueva esta forma de propagación (los Banker y otros similares se envían en forma de spam, falsas tarjetas de salutaciones o cualquier otro tipo de mensaje que engañe al usuario para que descargue y ejecute de Internet al troyano propiamente dicho), el peligro en este caso, está en la confianza que puede significar una invitación similar a la que podríamos recibir de un servicio legítimo (Windows Live Mail). Por supuesto, también podrían utilizarse trucos similares con otros servicios, como Gmail por ejemplo.

En el caso aquí comentado, el falso mensaje está redactado en portugués, sencillamente porque el Win32/Spy.Banker se especializa en robar cuentas bancarias y otra información crítica, relacionada generalmente con instituciones bancarias brasileras. Sin embargo, nada impide que aparezcan mensajes con ideas similares, en otros idiomas, incluido español.

Es importante que siempre tengamos en cuenta las reglas básicas para una computación segura, que en el caso del correo electrónico consisten en no hacer clic sobre enlaces de mensajes no solicitados (aún cuando parezcan legítimos como en este caso, y/o enviados por conocidos), ni tampoco abrir adjuntos.

Antes de aceptar este tipo de invitación, debemos estar muy seguros de que lo envía alguien conocido (y que realmente es esa persona quien lo hace).

Detalles técnicos del falso mensaje

En el caso del Outlook Express 6, el mensaje visualiza la imagen del botón con el enlace al troyano, solo si se tiene desactivada la opción "Leer todos los mensajes como texto sin formato" (Herramientas, Opciones, Leer). Se recomienda tener esa opción siempre tildada.

El código del mensaje está codificado en base 64. De este modo, no es visible el verdadero enlace si se examinan sus propiedades:

Content-Type: text/html
Content-Transfer-Encoding: base64

El enlace descarga el troyano Win32/Spy.Banker.AHY, en un archivo llamado MSNLIVE.SCR, de un enlace que corresponde a la Facultad de Ciencias de la Universidad de Valladolid (está activo al momento de esta alerta).

http : / / ???????????.cie.uva.es/microsoft/msnlive.scr