El SPAM sigue siendo el «gran» problema de Internet, los proveedores de correo electrónico trabajan duramente para que nos llegue la menor cantidad de correos electrónicos que son basura y que lo único que nos aporta normalmente es, malware, suscripciones a más servicios de SPAM o similares, ofertas fraudulentas, ataques de phishing etc, conoce hoy lo relacionado con el Robo de contraseñas con formularios online.
En el caso de hoy tenemos el típico correo que nos llega con un texto, en el que nos anima a validar nuestra cuenta. Para ello, y para nuestra comodidad (nótese el toque irónico) nos proporciona un archivo adjunto.
Tabla de Contenido
Vamos a echarle un vistazo:
Actualización 2026: el phishing con formularios HTML adjuntos sigue vigente
Todo lo descrito en este artículo sigue ocurriendo hoy: un correo que invita a «validar la cuenta» y adjunta un archivo HTML que imita un formulario de inicio de sesión. La víctima escribe su correo y su contraseña, el formulario los envía al atacante y la cuenta queda comprometida. La mecánica básica no ha cambiado en más de una década porque sigue funcionando.
Lo que sí cambió es el envoltorio. Los adjuntos HTML actuales llegan con código ofuscado, a veces comprimidos dentro de un ZIP para evadir el primer análisis, y los correos usan suplantación de remitente mucho más cuidada con temas de actualidad: facturación, recursos humanos, soporte técnico o «actividad sospechosa» en la cuenta. Además, los formularios ya no siempre se conforman con la contraseña: también piden el código de un solo uso para intentar entrar en tiempo real, en la misma sesión.
También cambió la defensa. Los filtros de correo modernos analizan los adjuntos en entornos aislados (sandbox) antes de entregarlos, la autenticación del dominio remitente con SPF, DKIM y DMARC dificulta la suplantación de identidad, y la autenticación en dos pasos con llaves físicas (FIDO2) hace que una contraseña robada, por sí sola, ya no baste para entrar a las cuentas mejor protegidas. Aun así, el eslabón que el atacante sigue explotando es el mismo de 2014: el usuario que abre el adjunto y completa el formulario.
Robo de contraseñas con formularios online en un archivo HTM
Es un archivo HTM, bastante sencillo y claro de lo que hace. Nos solicita el email y el password le da igual el proveedor. Incluso nos hace verificar el password por si acaso nos equivocamos y cuando verificamos la cuenta. Por POST envía los datos a un PHP que se llama SendMail, por lo que este a su vez imagino enviará un correo al administrador del sitio.
Como suele pasar con estos timos cuando he querido «atacar» al fichero sendmail =>
seifreed@hell:~/Escritorio$ curl -I https://emailupgrades.ucoz.com/_sendmail.php
HTTP/1.1 404 Not Found
Server: uServ/3.2.2
Date: Mon, 21 Apr 2014 01:07:02 GMT
Content-Type: text/html; charset=UTF-8
Content-Length: 6933
Connection: keep-alive
Keep-Alive: timeout=15
ETag: «5342af3b-1b15»También te puede llegar a interesar – https://www.dragonjar.org/las-peores-contrasenas-numericas-de-5-digitos.xhtml
Así que me he quedado sin el fichero.
No es novedad que los malos reutilizan infraestructura para montar varios servicios a lo largo del tiempo. No todas las webs que monten han de ser con fines maliciosos pero la historia no dista de ser siempre muy parecida.
Si consultamos un registro de DNS pasivo para ver que webs se montaron sobre la IP de este fraude:
Status: IP address found in dataset
[+] Lastest domain resolved
+———————+————————–+
| last_resolved | hostname |
+=====================+==========================+
| 2014-04-18 00:00:00 | mailre-validate.ucoz.ua |
+———————+————————–+
| 2014-04-18 00:00:00 | prowallpapers.info |
+———————+————————–+
| 2014-04-18 00:00:00 | servicehelpdesk.clan.su |
+———————+————————–+
| 2014-04-17 00:00:00 | exchangeweboowa.ucoz.ae |
+———————+————————–+
| 2014-04-17 00:00:00 | hoerspielstube.ucoz.com |
+———————+————————–+
| 2014-04-16 00:00:00 | aknrtxb.ucoz.co.uk |
+———————+————————–+
| 2014-04-16 00:00:00 | bershadmoloko.at.ua |
+———————+————————–+
| 2014-04-16 00:00:00 | endigo.ucoz.ru |
+———————+————————–+
| 2014-04-16 00:00:00 | gdz-work.3dn.ru |
+———————+————————–+
| 2014-04-16 00:00:00 | maup.ucoz.net |
+———————+————————–+
| 2014-04-16 00:00:00 | morebareclips.com |
+———————+————————–+
| 2014-04-15 00:00:00 | clickweb.ucoz.ru |
+———————+————————–+
| 2014-04-15 00:00:00 | gtwaehkn.ucoz.com |
+———————+————————–+
| 2014-04-15 00:00:00 | images-droles.ucoz.com |Actualización 2026: cómo defenderse del phishing con adjuntos HTML
Frente a este tipo de fraude, la protección combina criterio del usuario y medidas técnicas:
- Desconfíe de todo adjunto HTML o HTM no solicitado. Ningún proveedor legítimo pide «validar la cuenta» completando un formulario que llega por correo. Ante la duda, no abra el archivo.
- Verifique sin hacer clic. Revise el remitente real y, si el mensaje parece venir de un servicio que usa, acceda escribiendo la dirección en el navegador en lugar de seguir el correo.
- Active el segundo factor en las cuentas críticas, preferiblemente con llave física o passkey: aunque roben su contraseña, el atacante no podrá entrar sin ese segundo factor.
- A nivel de empresa: publicar registros SPF, DKIM y DMARC para el dominio corporativo, filtrar adjuntos ejecutables y HTML sospechosos en la puerta de correo, y mantener un canal interno para reportar correos sospechosos más campañas periódicas de concientización.
Una contraseña robada solo es un desastre si es la única barrera. Con una segunda capa de autenticación y el hábito de no abrir formularios adjuntos, este ataque de 2014 pierde casi toda su fuerza en 2026.
Contenido completo en Pastebín
Podemos encontrar el contenido completo en Pastebin
Como veis la IP ha tenido bastante actividad.
Además de comprobar estos datos en el pDNS de Virus Total, podemos lanzar Automater para tener más datos sobre el dominio:
____________________ Results found for: emailupgrades.ucoz.com ____________________
[+] Fortinet URL Category: Information Technology
[+] URL redirects to: https://emailupgrades.ucoz.com
[+] IP from URLVoid: 193.109.246.157
No results found for: [+] Blacklist from URLVoid:
[+] Domain Age from URLVoid: 2005-08-12 (9 years ago)
[+] Geo Coordinates from URLVoid: 18.5 / -64.5
[+] Country from URLVoid: (VG) Virgin Islands, British
[+] pDNS data from VirusTotal: (‘2014-04-21’, ‘193.109.246.157’)
No results found for: [+] pDNS malicious URLs from VirusTotal:
No results found for: [+] Malc0de Date:
No results found for: [+] Malc0de IP:
No results found for: [+] Malc0de Country:
No results found for: [+] Malc0de ASN:
No results found for: [+] Malc0de ASN Name:
No results found for: [+] Malc0de MD5:
Yo pensaba que el dominio sería de más corta vida, pero veo que no, que tiene ya varios años.
Vamos a parar el artículo Robo de contraseñas con formularios online aquí, en la siguiente entrega, veremos como conseguimos llegar hasta donde los malos han recogido parte de los logs y, además usan otros esquemas para robar datos relacionados con cuentas de correo pero usando otros métodos.
¿Tu empresa está expuesta al phishing y al robo de credenciales? En DragonJAR realizamos auditorías de seguridad y pruebas de ingeniería social que miden la exposición real de tu organización ante estos ataques, con informe técnico y plan de remediación. Solicita una cotización aquí.
