Los estafadores hacen creer a sus víctimas que han sufrido un ataque por parte de cibercriminales mexicanos; después incitan al usuario a instalar un programa de ‘evaluación’ cuya finalidad es tomar el control remoto de sus computadoras.

Ciudad de México.- ESET, firma de seguridad de datos, reportó problemas globales con estafadores, provenientes desde call centers en India, que intentan convencer a las personas de que sus computadoras están infectadas con algún virus o que su información fue comprometida por cibercriminales, lo que se denomina “llamadas de soporte falsas”.

La víctima potencial, sensible por los informes relacionados a una vulnerabilidad, se deja persuadir sobre la posibilidad de que su equipo estuviera infectado como consecuencia de dicha vulnerabilidad. Los estafadores utilizan el viejo truco del comando ASSOC para convencerlo de que una de las líneas mostradas por ASSOC exponía el ‘Identificador exclusivo’ de su equipo.

ASSOC es un comando que muestra el programa asociado a un tipo de archivo específico. Los estafadores suelen usar este identificador CLSID para hacer creer a las víctimas que es un identificador único del ID de la licencia del sistema operativo Windows.

De hecho, el CLSID es un identificador que no es único para una PC en particular, sino a un COM class object, lo que significa que será el mismo en cualquier sistema Windows donde se pueda encontrar dicho objeto.

En otras palabras, existen millones de equipos con Windows donde, al ejecutar el comando ASSOC, se mostrará exactamente el mismo texto en algún lugar de su visualización. No representa una cadena de texto de identificación única para cada PC ni para cada instalación específica de Windows.

A continuación, el estafador convence a la víctima de que había problemas en su PC y pidió que ejecutara la herramienta EVENTVWR para comprobarlo. Event Viewer es una herramienta que mantiene un registro del sistema: conduce a una pantalla que muestra varios sucesos del sistema, algunos de los cuales realmente constituyen problemas, aunque suelen ser errores y fallas pasajeras que ya no están más.

Como suele suceder, el estafador malinterpreta a propósito entradas de registro como si fueran algo más serio, para persuadir a la víctima potencial de que instale un software de acceso remoto como AMMYY o TeamViewer, usado para el fraude telefónico, de modo que le permitiera acceder al equipo de la víctima. Cuando el estafador muestra al usuario el ‘árbol de procesos’ de Windows, asegura que el proceso activo csrss.exe era un troyano utilizado por criminales mexicanos para obtener acceso a la PC y a la conexión de Internet de la víctima.

En realidad, a pesar de que no es inusual encontrar troyanos que se hacen pasar por csrss.exe, el archivo (real) es la parte del modo de usuario del Subsistema de tiempo de ejecución de cliente/servidor, un servicio esencial del sistema Windows. En otras palabras, es necesario que se esté ejecutando. Entonces el estafador usa la utilidad netstat para ‘probar’ su afirmación.

Este tipo de resultado ya fue empleado por los estafadores para sugerir que las entradas bajo ‘Dirección externa’ representan algún tipo de ataque externo. De hecho, simplemente representan conexiones legítimas entre el equipo local y diversos sistemas remotos.

El Semanario Sin Límites, con información de medios