{"id":175549,"date":"2024-03-11T16:45:55","date_gmt":"2024-03-11T15:45:55","guid":{"rendered":"https:\/\/nuevoitsitio1.wpenginepowered.com\/mx\/2024\/03\/11\/timbrestealer-el-malware-que-roba-informacion-de-usuarios-mexicanos-mediante-correos-falsos-de-cfdi\/"},"modified":"2025-11-21T18:43:41","modified_gmt":"2025-11-21T21:43:41","slug":"timbrestealer-el-malware-que-roba-informacion-de-usuarios-mexicanos-mediante-correos-falsos-de-cfdi","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/mx\/seguridad\/timbrestealer-el-malware-que-roba-informacion-de-usuarios-mexicanos-mediante-correos-falsos-de-cfdi\/","title":{"rendered":"TimbreStealer: el malware que roba informaci\u00f3n de usuarios mexicanos mediante correos falsos de CFDI"},"content":{"rendered":"

Un nuevo malware llamado TimbreStealer se ha detectado en M\u00e9xico, donde se distribuye mediante correos electr\u00f3nicos falsos de CFDI. As\u00ed lo ha revelado Cisco Talos, que ha analizado una campa\u00f1a de spam que lleva operando desde noviembre de 2023. Los usuarios son redirigidos a sitios web infectados donde se les ofrece descargar un archivo que contiene el ladr\u00f3n de informaci\u00f3n.<\/strong><\/p>\n

La campa\u00f1a solo afecta a los usuarios mexicanos, ya que utiliza t\u00e9cnicas de geofencing para filtrar las visitas desde otras regiones, que solo reciben un PDF vac\u00edo.<\/strong> Los correos electr\u00f3nicos usan temas relacionados con la contabilidad, como facturas o comprobantes fiscales digitales, que son el est\u00e1ndar en M\u00e9xico.<\/p>\n

TimbreStealer es un malware muy avanzado que usa m\u00e9todos de ofuscaci\u00f3n para evitar ser detectado y eliminar rastros de su actividad.<\/strong> Entre sus t\u00e9cnicas se encuentran las llamadas directas al sistema, la t\u00e9cnica Heaven\u2019s Gate y los cargadores personalizados. Estas caracter\u00edsticas sugieren que los autores tienen un alto nivel de conocimiento y han creado estos componentes desde cero.<\/p>\n

Antes de TimbreStealer, los ciberatacantes<\/a> usaban otra variante de ladr\u00f3n de informaci\u00f3n llamada Mispadu, que se detect\u00f3 por primera vez en septiembre de 2023. Esta campa\u00f1a usaba sitios web comprometidos para distribuir un archivo Zip con un archivo \u201c.url\u201d que ejecutaba un archivo externo mediante WebDAV al hacer doble clic.<\/strong> Esta campa\u00f1a se desactiv\u00f3 a mediados de noviembre, cuando se reemplaz\u00f3 por TimbreStealer.<\/p>\n

\"width=\"
La campa\u00f1a tiene un alcance amplio, pero se enfoca ligeramente en los sectores de la fabricaci\u00f3n y el transporte.<\/figcaption><\/figure>\n

Campa\u00f1a de spam con CFDI como se\u00f1uelo<\/span><\/h2>\n

Desde noviembre de 2023 hasta febrero de 2024, se ha observado una campa\u00f1a de bajo volumen que usa CFDI para enga\u00f1ar a los usuarios y hacerles descargar y ejecutar un archivo malicioso que parece un documento PDF.<\/strong> La campa\u00f1a usa correos electr\u00f3nicos de spam para llevar a los usuarios a una p\u00e1gina web maliciosa alojada en sitios comprometidos.<\/p>\n

Los correos electr\u00f3nicos tienen el mismo asunto:<\/strong><\/p>\n

Recibi\u00f3 un Comprobante Fiscal Digital (CFDI). Folio Fiscal: fcd7bf2f-e800-4ab3-b2b8-e47eb6bbff8c<\/strong><\/p>\n

Recibi\u00f3 una Factura. Folio Fiscal: 050e4105-799f-4d17-a55d-60d1f9275288<\/strong><\/p>\n

El sitio web usa Javascript para detectar caracter\u00edsticas del usuario como la geolocalizaci\u00f3n y el tipo de navegador y luego inicia la descarga de un archivo Zip que contiene un archivo .url, que descargar\u00e1 el dropper inicial de TimbreStealer mediante WebDAV. El archivo Zip suele tener el mismo nombre:<\/strong><\/p>\n

CFDI_930209.zip<\/strong><\/p>\n

FACTURA_560208.zip<\/strong><\/p>\n

Despu\u00e9s de visitar el sitio donde se encuentra el malware dropper inicial, el usuario ve este mensaje.<\/p>\n

Es necesario que el usuario interact\u00fae para abrir el archivo Zip que se ha descargado y haga doble clic en el archivo .url que contiene el malware. As\u00ed se iniciar\u00e1 la infecci\u00f3n de TimbreStealer.<\/p>\n

\u00bfQu\u00e9 pueden hacer las empresas para protegerse de este ataque?<\/span><\/h2>\n

Algunas de las herramientas son la seguridad en endpoint<\/a>, que evita que el malware se ejecute; dispositivos web seguros, que bloquean el acceso a sitios web infectados y detectan el malware que se usa en estos ataques<\/strong>, y servicios de correos electr\u00f3nicos seguros, que filtran los mensajes maliciosos que se env\u00edan.<\/p>\n

Otras herramientas son los anal\u00edticos de seguridad para malware, que reconocen los binarios maliciosos; puertas de enlace seguras a internet, que impiden la conexi\u00f3n de los usuarios a dominios, IP y URL infectados, cortafuegos y centros de gesti\u00f3n para los mismos, y sistemas de autenticaci\u00f3n multifactor para usuarios, que aseguran que solo las personas autorizadas entren a una red.<\/p>\n","protected":false},"excerpt":{"rendered":"

Un nuevo malware llamado TimbreStealer se ha detectado en México, donde se distribuye mediante correos electrónicos falsos de CFDI. Así lo ha revelado Cisco Talos, que ha analizado una campaña de spam que lleva operando desde noviembre de 2023. Los usuarios son redirigidos a sitios web infectados donde se les ofrece descargar un archivo que contiene el ladrón de información. La campaña solo afecta a los usuarios mexicanos, ya que utiliza técnicas de geofencing para filtrar las visitas desde otras regiones, que solo reciben un PDF vacío. Los correos electrónicos usan temas relacionados con la contabilidad, como facturas o comprobantes fiscales digitales, que son el estándar en México. TimbreStealer es un malware muy avanzado que usa métodos de ofuscación para evitar ser detectado y eliminar rastros de su actividad. Entre sus técnicas se encuentran las llamadas directas al sistema, la técnica Heaven’s Gate y los cargadores personalizados. Estas características sugieren que los autores tienen un alto nivel de conocimiento y han creado estos componentes desde cero. Antes de TimbreStealer, los ciberatacantes usaban otra variante de ladrón de información llamada Mispadu, que se detectó por primera vez en septiembre de 2023. Esta campaña usaba sitios web comprometidos para distribuir un archivo Zip con un archivo “.url” que ejecutaba un archivo externo mediante WebDAV al hacer doble clic. Esta campaña se desactivó a mediados de noviembre, cuando se reemplazó por TimbreStealer. Campaña de spam con CFDI como señuelo Desde noviembre de 2023 hasta febrero de 2024, se ha observado una campaña de bajo volumen que usa CFDI para engañar a los usuarios y hacerles descargar y ejecutar un archivo malicioso que parece un documento PDF. La campaña usa correos electrónicos de spam para llevar a los usuarios a una página web maliciosa alojada en sitios comprometidos. Los correos electrónicos tienen el mismo asunto: Recibió un Comprobante Fiscal Digital (CFDI). Folio Fiscal: fcd7bf2f-e800-4ab3-b2b8-e47eb6bbff8c Recibió una Factura. Folio Fiscal: 050e4105-799f-4d17-a55d-60d1f9275288 El sitio web usa Javascript para detectar características del usuario como la geolocalización y el tipo de navegador y luego inicia la descarga de un archivo Zip que contiene un archivo .url, que descargará el dropper inicial de TimbreStealer mediante WebDAV. El archivo Zip suele tener el mismo nombre: CFDI_930209.zip FACTURA_560208.zip Después de visitar el sitio donde se encuentra el malware dropper inicial, el usuario ve este mensaje. Es necesario que el usuario interactúe para abrir el archivo Zip que se ha descargado y haga doble clic en el archivo .url que contiene el malware. Así se iniciará la infección de TimbreStealer. ¿Qué pueden hacer las empresas para protegerse de este ataque? Algunas de las herramientas son la seguridad en endpoint, que evita que el malware se ejecute; dispositivos web seguros, que bloquean el acceso a sitios web infectados y detectan el malware que se usa en estos ataques, y servicios de correos electrónicos seguros, que filtran los mensajes maliciosos que se envían. Otras herramientas son los analíticos de seguridad para malware, que reconocen los binarios maliciosos; puertas de enlace seguras a internet, que impiden la conexión de los usuarios a dominios, IP y URL infectados, cortafuegos y centros de gestión para los mismos, y sistemas de autenticación multifactor para usuarios, que aseguran que solo las personas autorizadas entren a una red.<\/p>\n","protected":false},"author":229,"featured_media":174750,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[22],"tags":[120],"class_list":["post-175549","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","tag-cisco"],"_links":{"self":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/posts\/175549","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/users\/229"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/comments?post=175549"}],"version-history":[{"count":0,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/posts\/175549\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/media\/174750"}],"wp:attachment":[{"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/media?parent=175549"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/categories?post=175549"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itsitio.com\/mx\/wp-json\/wp\/v2\/tags?post=175549"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}