Bogotá, 29 de Octubre de 2018

Señor(a)
Director(a)
Oficina Tecnología de Información

Asunto: Alerta - Identificación ataques Spam y DoS

El CSIRT Gobierno como parte de sus actividades, busca que las entidades del
estado de nivel nacional y territorial, fortalezcan sus niveles de seguridad.

Dando alcance a la alerta enviada el 4 de Octubre del año en curso “Alerta -

Ataque a servicios DNS“, se envía a continuación el análisis realizado con
información de ataques de denegación de servicios (DoS) e infección de
Malware tipo Spam a diferentes entidades.

Como resultado del envío del boletín arriba mencionado; el CSIRT de Gobierno
recibió reportes de entidades del estado como del sector privado, que
detectaron ataques similares con las mismas direcciones IP a su infraestructura.

Al realizar un análisis detallado de las información entregada se identifica lo

siguiente:

● Envío masivo de correos tipo spam, desde cuentas de correo de diferentes

organizaciones, aproximadamente 720 correos por hora, en horario no
laboral; comportamiento relacionado con un Spambot.
● Los correos enviados contienen diferentes enlaces a sitios maliciosos (ver
listado Anexo de las URLs), esto se puede identificar como una posible
campaña de Phishing a través de Spam.
● Todos los destinatarios pertenecen a dominios externos a las
organizaciones, lo cual descarta un posible SpearPhishing.
● Al revisar estos sitios maliciosos, se despliega un mensaje donde se solicita
actualizar el Navegador Web, una vez que se ejecuta la opción de
actualizar (botón “Update”) se descarga un archivo auto-ejecutable, que se
activa en segundo plano.
● Una vez la maquina esta infectada inicia el ciclo de propagación.

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co
● En varias de estas organizaciones que evidenciaron los casos de cuentas
infectadas por Spam, reportaron que estaban recibiendo ataques o intentos
de ataques a su infraestructura desde diferentes IPs externas.
● Estos ataques estaban intentado obtener acceso a servicios como DNS,
recursos de red, servidores web, servidores de correo entre otros.

De acuerdo con los escenarios anteriormente expuestos el intento de ataque a

la infraestructura fue derivado del envío masivo de correos realizado desde las
cuentas de correo de las organizaciones. Estas aparentemente se han
integrado a una Botnet, en este caso un Spambot.

Desde los C&C (comando y control) de las botnet utilizadas para el envío de
spam; se detecto infraestructura vulnerable lo cual derivo en diferentes tipos
de ataques y/o escaneos a los servicios expuestos a Internet, con el objetivo
también de tener otro vector de ataque, para escalar privilegios.

Recomendaciones

- Mantenga actualizadas las estaciones de trabajo y servidores

(parches críticos y de seguridad).

- Verifique que las versiones de los navegadores estén actualizadas

y con parametros de seguridad mínimos.

- Verifique que las estaciones de trabajo y servidores cuenten con

una solución de antivirus y estén con la ultimas actualizaciones de
firmas.

- Realice periodicamente campañas de sensibilización a los usuarios

en el buen uso de correo electrónico e identificación de Phishing
con el fin de que no registren las cuentas de correo o entreguen
información confidencial en sitios de baja reputación.

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co
 - Revise y bloquee las siguientes direcciones IP en sus equipos de
seguridad perimetral (Se anexaron mas direcciones IP).

Estas direcciones se encuentran reportadas en listas negras de Spam,

Botnets, Web Scanners, Scanner RDP, Web Crawler, envio de
Malware tipo PHPMYADMIN_WORM, ataques de fuerza bruta por SSH y
servicios MSSQL y escaneos con Nmap.

220.243.136.0 110.173.56.6 198.44.230.98

220.143.135.0 119.42.150.171 203.205.138.78
101.254.225.213 119.42.150.172 203.205.158.12
222.186.42.140 139.99.118.122 203.205.158.23
211.94.173.3 139.99.118.123 203.205.158.24
211.23.115.27 149.56.154.193 203.205.158.44
94.102.49.123 149.56.180.252 23.225.141.70
122.116.0.0 149.56.180.253 43.230.115.91
94.102.49.122 149.56.180.254 45.195.133.8
103.89.88.71 149.56.180.255 47.91.195.227
138.201.138.240 154.223.74.4 154.85.11.25
78.46.116.134 167.114.41.149 51.254.167.83
203.205.138.233 198.44.230.103 23.234.39.80
208.66.233.5 149.56.154.194 148.163.165.122
23.234.39.26 149.56.154.195 101.55.26.23
146.88.85.65 167.114.41.148 103.37.233.28
149.56.154.192 167.114.41.150 103.49.209.40
198.44.241.117 38.27.97.248 110.173.56.5
23.247.6.249 112.120.249.224
134.175.181.91 35.201.183.114

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co
 - Bloquee las siguientes URLs

Se han identificado como sitios maliciosos por la descarga de

malware identificado en los correos spam.

http://www.lixicook.com/multimedia/laparohysteropexy_ferny.html
http://www.moncoursdanglais.fr/multimedia/overstately_monodromic.html
http://www.fyzcny.com/multimedia/polyphage_obnubilate.html
http://www.dictionary.caspian-online.ir/multimedia/warf_tetel.html
http://www.lifelineloaning.com/multimedia/calmy_aetheogamous.html
http://www.usb-stick-logo.eu/multimedia/odorful_intraepithelial.html
http://www.possibilityschool.org/multimedia/flakiness_niceish.html
http://www.mairuizsi.com/multimedia/overcareless_leptoprosopic.html
http://www.justwicca.com/multimedia/unerasable_nable.html
http://www.limelight124.com/multimedia/motionable_noncaste.html
http://www.standvt.com/multimedia/Starbuck_argillaceous.html
http://www.makemoneyonline0.com/multimedia/crevasse_endofaradism.html
http://www.flyingtoysforkids.com/multimedia/preadvertisement_palish.html
http://www.sloegincottage.co.uk/multimedia/herbarium_viragoish.html
http://www.uteathleteconnect.com/multimedia/frontways_Pleuracanthini.html
http://www.wheresmylesbian.com/multimedia/reedling_oxystomatous.html
http://www.fima.me/multimedia/unsacramental_aircraftwoman.html
http://www.massage911.in.ua/multimedia/southern_sphincterismus.html
http://www.yogopackers.com/multimedia/amotus_frabjous.html
http://www.jilinhongxin.com/multimedia/roughrider_oxidimetric.html
http://www.bookcollection.toetheingi.me/multimedia/patron_spondylolisthesis.html
http://www.qswiftfit.com/multimedia/slackly_overtrim.html
http://www.kelzangphotos.com/multimedia/causticness_sinkerless.html
http://www.galaxymultimedia.in/multimedia/incurvate_profarmer.html
http://www.fountainadvocates.com/multimedia/euphonous_Belgravian.html
http://www.quickfastpackers.com/multimedia/esophagoscopy_nightie.html
http://www.geovalores.com/multimedia/huff_cyanopathy.html
http://www.creativelyinvented.com/multimedia/sunrising_crookedness.html
http://bookmarkmix.com/multimedia/pennatulacean_monkeytail.html

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co
http://www.menarddanang.com/multimedia/overlie_Catonism.html
http://www.nurul.sopanselalu.com/multimedia/guffin_wildbore.html
http://www.myserveindia.org/multimedia/preconception_spunkiness.html
http://www.digital-ihosting.com/multimedia/enseraph_cystatrophy.html
http://www.wrestlingfansmeet.com/multimedia/engrammic_reappraise.html
http://www.sedatkumova.com/multimedia/trihydrate_unvalid.html
http://www.mentateashop.hu/multimedia/compartmentally_wrang.html
http://www.theyardok.com/multimedia/dividedness_bepierce.html
http://www.staging.dreamarchers.com.ph/multimedia/intergrade_palamedean.html
http://www.deshimeat2.nijosso.org/multimedia/diphtherian_Euterpean.html
http://www.upsilon.tech/multimedia/automobilistic_dracma.html
http://www.aticorporationbd.net/multimedia/lousy_spannel.html
http://www.paulsethpt.com/multimedia/princessly_riotistic.html
http://www.prashantjayswal.com/multimedia/yestern_xenogenetic.html
http://www.itekworld.com/multimedia/misbefitting_enactory.html
http://www.surfnatural.pe/multimedia/predelegate_randannite.html
http://www.besportscollectibles.com/multimedia/gratulatorily_pastorhood.html
http://www.justintegrateit.com/multimedia/formiate_decoic.html
http://www.meeraconsulting.com/multimedia/supergenerosity_spontaneous.html
http://www.eaglescuracao.com/multimedia/longeval_wottest.html
http://www.thai665.com/multimedia/provincialism_glabellae.html
http://www.tefslim.com/multimedia/ursuk_pycnidium.html
http://www.cebuescapade.com/multimedia/semirotatory_hematoidin.html
http://www.casablanc.co/multimedia/Novorolsky_autoformation.html
http://www.trickyguy.com/multimedia/insulation_Tylosaurus.html
http://www.mmtfoods.com/multimedia/sorose_aliethmoid.html
http://www.acuapascuriti.org.co/multimedia/nidifugous_interambulacrum.html
http://www.artofbaseball.net/multimedia/ferrosilicon_untusked.html
http://www.dotoristudioart.com/multimedia/mucronately_unrigging.html
http://www.mmacontender.com/multimedia/sectarianism_teasingly.html
http://www.sonimage.net/multimedia/analytically_helioscopic.html
http://www.econtinuidad.com/multimedia/lasiocampid_Steatornithes.html
http://www.perfectpetportraits.ca/multimedia/shaftfoot_marree.html
http://www.webbrains.cz/multimedia/Menyanthes_demilance.html

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co
http://www.agence-maryshands.com/multimedia/phlegmaticly_tolly.html
http://www.murdockrooftrusses.mcveighmedia.com/multimedia/undertrader_illogicalnes
s.html
http://www.home.rikh.nl/multimedia/pithy_grittiness.html
http://www.livehealthybywalking.com/multimedia/Satyridae_malariaproof.html
http://www.dom.rentals/multimedia/autoheterosis_bunker.html
http://www.amigosdacasaverde.com.br/multimedia/spotrump_chordally.html
http://www.hometownlog.com/multimedia/schoolgirly_fragrance.html
http://www.teamaruba.com/multimedia/acromastitis_Acacian.html
http://www.xn--80avhfes.xn--p1ai/multimedia/overstaid_tyrantship.html
http://www.das-fleissige-lieschen.de/multimedia/Cayugan_valleylike.html
http://www.maxdesingshop.com/multimedia/beglamour_tatsman.html
http://www.voiceofworldnews.com/multimedia/lirelline_Africanist.html
http://www.baovietcare.com/multimedia/barbasco_ovatoorbicular.html
http://www.s36yh.com/multimedia/anthropomorphology_secundiparous.html
http://www.webmail.wia-media.com/multimedia/Arulo_monodactyly.html
http://www.sv-konstanz.info/multimedia/unenthusiastically_implodent.html
http://www.wplyf.com/multimedia/insupportably_rummer.html
http://www.ruskigeroj.com/multimedia/Leonora_youdith.html
http://www.bdmcricacademy.com/multimedia/nonbreeder_cafiz.html
http://www.hauntedhotelblackfoot.org/multimedia/gratulatorily_pastorhood.html
http://www.laborex.t-online.hu/multimedia/herbivore_cryptogenous.html
http://www.sltv.tk/multimedia/irresolved_ensiform.html
http://www.laquoirelle.net/multimedia/busy_pathobiological.html
http://www.auspropertygroup.com.au/multimedia/Herpetomonas_mediodepressed.html
http://www.meproject.com.br/multimedia/Samnani_glycerolate.html
http://www.intercellus.com/multimedia/aureous_vertically.html
http://www.24-7nampa.com/multimedia/solecistically_subminimal.html
http://www.welcomecure.org/multimedia/hypocritically_unformularize.html
http://www.9lunes.com/multimedia/mediodepressed_esophagectasia.html
http://www.swarajlive.com/multimedia/seamy_Balanophora.html
http://www.fourseasonsbp.com/multimedia/carolin_veiling.html
http://www.rococopk.com/multimedia/bulbilla_captivation.html
http://www.remodelermarketingpros.com/multimedia/motacillid_Dotty.html
http://www.greenrisegold.com.ng/multimedia/conferee_Dicksonia.html

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co
http://www.newsupdatenepal.com/multimedia/prehepaticus_mendicate.html
http://www.kaoribellydance.com/multimedia/incontestability_unanatomized.html
http://www.technomotor.co.id/multimedia/sozin_charge.html
http://www.sapphirecoin.io/multimedia/Hooverize_exostosed.html
http://www.shotokai.ns.ca/multimedia/centriole_confiscatable.html
http://www.squirrelcaps.com/multimedia/paint_chlorazide.html
http://www.moneyplan.hplbusiness.com/multimedia/uniformed_luke.html
http://www.shahtaxcanada.com/multimedia/unnotched_rutelian.html
http://www.xn--80adfq2af9d.xn--p1ai/multimedia/parly_presswoman.html
http://www.xn--wattfrsrad-eeb.de/multimedia/overstout_rusticly.html
http://www.voteforrk.com/multimedia/generalized_Orphicism.html
http://www.bodyshoppechiropractic.com/multimedia/hinderment_carillon.html
http://www.travelhotelspaequipment.com/multimedia/assortive_sketch.html
http://www.bicind.com/multimedia/extraneous_gerhardtite.html
http://www.oneschool.com.br/multimedia/lown_semidead.html
http://www.intalkin.com/multimedia/nonpainter_rosolite.html
http://www.lulamarques.com.br/multimedia/Cat_nodule.html
http://www.alex-cristiano.com/multimedia/yester_hyperfunctional.html
http://www.greenmeadow.vn/multimedia/raiment_fielder.html
http://www.emsroaddocsil.com/multimedia/Alexandrine_Rhodophyceae.html
http://www.aces-courtage.com/multimedia/sulphowolframic_Neptunean.html
http://www.ilovebnb.cn/multimedia/parthenogenetic_triangulation.html
http://www.mmea.lk/multimedia/etymology_oxycaproic.html
http://www.ruflex.az/multimedia/hypopharyngeal_unstyled.html
http://www.cosmictuning.com/multimedia/wimblelike_sadomasochism.html
http://www.vspl.com/multimedia/emandibulate_lateralize.html
http://www.acarmobilya.com.tr/multimedia/infestant_nonseizure.html
http://www.a1techsolutionservices.com/multimedia/unconcurrent_humectation.html
http://www.boardingpass.tips/multimedia/unsampled_ungeodetical.html
http://www.xn----7sbbnsf8adike4bh3due.xn--p1ai/multimedia/cordiceps_anticomet.html
http://www.salngy.com/multimedia/keyway_cutheal.html
http://www.sankhuyenmai.xyz/multimedia/Lucius_colpoperineorrhaphy.html
http://www.bacmcosfoundation.com/multimedia/nonoccurrence_Koreish.html
http://www.prof-training.nl/multimedia/diallelon_unlordly.html

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co
http://www.trishellejeffery.com/multimedia/upprop_uteroparietal.html
http://www.mrwhitetrade.com/multimedia/furtherest_reprobateness.html
http://www.dollars4driving.com/multimedia/bit_gyrograph.html
http://www.genxled.com/multimedia/affluence_freshish.html
http://www.bisdacstudios.com/multimedia/synodical_sextula.html
http://www.sonorous.at/multimedia/unmaidenlike_negativity.html
http://www.hungthinhland.top/multimedia/omphalopagus_mesophilic.html
http://www.kyatnews.com/multimedia/kremlin_acoustical.html
http://www.lekori.com/multimedia/hearken_spencerite.html
http://www.billybobsfranchise.com/multimedia/coattestation_prickproof.html
http://www.chinaspycam.com/multimedia/revacate_reseizure.html
http://www.celebritic.com/multimedia/languaged_revamper.html
http://www.conexionremotatv.com/multimedia/skeletonless_oncetta.html
http://www.renewtorenew.com/multimedia/adipic_Prionodesmacea.html
http://www.coinmais.com.br/multimedia/uncheeriness_preaccept.html
http://www.xn----7sbkfdbbq5adnc9cs3d4em.xn--
p1ai/multimedia/megampere_ephymnium.html
http://www.silverbirdfilmdistribution.com/multimedia/avidious_ontogenal.html
http://www.vibharalulaw.com/multimedia/manship_didymia.html

En caso de ser necesario puede comunicarse con CSIRT Gobierno por medio de
los siguientes canales:

Csirtgob@mintic.gov.co

018000910742 Opción 4.

Ministerio de Tecnologías de la Información y las

Comunicaciones
Edificio Murillo Toro, Carrera 8a, entre calles 12 y 13
Código Postal: 111711 . Bogotá, Colombia
CSIRT Tel: +57 018000910742 Opción 4
www.mintic.gov.co