HTML smuggling: adjuntos HTML que arman malware al abrirse

Cómo funciona

1. El correo trae un adjunto .html o .htm, a veces con un nombre como "factura" o "documento escaneado".
2. Dentro del archivo hay un script con el malware codificado, por ejemplo en Base64, y a veces dividido en partes.
3. Al abrirlo, el navegador ejecuta el script, reconstruye el archivo y lo ofrece como descarga, normalmente un ZIP o una imagen de disco (ISO).
4. Si la persona abre ese archivo, se instala el malware.

Una variante usa el mismo adjunto HTML para mostrar una página falsa de inicio de sesión sin salir del computador. Ver phishing de credenciales.

Por qué evade los filtros

• El filtro ve un archivo de texto, no un ejecutable: no hay nada que comparar con una firma de virus.
• El archivo malicioso se crea en el computador del usuario, después de que el correo pasó todos los controles.
• El contenido codificado cambia en cada envío, así que las firmas no sirven.

Señales de alerta

• Un adjunto HTML en un correo que dice traer una factura, un fax o un documento.
• Al abrirlo, el navegador descarga un archivo automáticamente.
• El archivo descargado es un ZIP con contraseña, una ISO o un acceso directo (.lnk).

Cómo protegerse

• Trata cualquier adjunto HTML como sospechoso: los documentos legítimos rara vez llegan en ese formato.
• En los computadores de la empresa, evita que los archivos ISO e IMG se monten con doble clic si no se usan.
• Usa un filtro que examine el contenido de los adjuntos HTML. Clisec examina los adjuntos HTML y los scripts que reconstruyen archivos maliciosos al abrirse, y envía los adjuntos sospechosos a un sandbox.

Preguntas frecuentes