En los últimos días, hemos identificado una nueva campaña de phishing a gran escala que busca impactar específicamente en clientes de Entel Chile. Según nuestra investigación, esta amenaza es de origen chino y posiblemente asociada a grupos como Chenlun o Smishing Triad (ambos en el rubro del Phishing as a Service y fraude financiero).
Estos atacantes también han utilizado la imagen de otras empresas como Correos de Chile, BlueExpress, Chilexpress, Autopase, LATAM Airlines y Copec entre otras.
Los atacantes buscan capturar la mayor cantidad posible de datos personales y financieros para realizar fraude a través de distintos mecanismos, principalmente, Google Pay y Apple Pay (videos al final).
Actualización 20-12-2024:
– Ahora utilizan dominios con TLD (top-level domain) .TOP, .COM y .VIP.
– También actualizaron los premios/regalos para canjear por los «puntos».
– Y las páginas de aterrizaje ahora tienen una imagen del Viejo Pascuero, ad hoc para la fecha.
Sobre la campaña y su entrega
El contacto inicial con las víctimas potenciales se realiza a través de mensajes de texto, sin embargo, en campañas anteriores también hemos visto la utilización de correos y llamadas de voz (vishing) como primer acercamiento.
Luego de hacer clic, las víctimas potenciales llegan a las páginas de aterrizaje que inician el proceso para capturar y robar los datos personales y financieros de la persona.
En el último paso, solicitan una tarjeta de crédito que luego es validada por la plataforma y los operadores de la estafa. finalmente, piden ingresar un código que es enviado al teléfono y autorizar una operación en la App del Banco.
Esta última acción es la que podría permitir a los atacantes agregar dispositivos/contactos, realizar transferencias/pagos y/o agregar las tarjetas a Google/Apple Pay para concretar el fraude 🚨
Análisis del Kit de Phishing
El kit de phishing tiene capacidad de evasión, posee múltiples controles para evitar bots, accesos automatizados, proveedores de seguridad y datos inválidos. Al igual que las variantes anteriores, es posible que el backend sea un «live panel», es decir, que los operadores puedan solicitar otros datos en tiempo real a sus víctimas.
Los dominios de aterrizaje utilizan un archivo Javascript ofuscado que contiene la configuración de la página en relación a la cantidad de puntos, el idioma, las redirecciones y lo más importante, el servidor de exfiltración, entre otras configuraciones.
Los datos capturados se envían a través de WSS (Web Services Security) a los dominios de exfiltración, que al igual que los dominios de aterrizaje, se encuentran protegidos por la tecnología de Cloudflare, lo que dificulta el análisis y seguimiento de la infraestructura.
A pesar de lo anterior, la unidad CTI de CronUp descubrió ciertos patrones en la generación de los dominios de aterrizaje (tipo DGA) que han permitido conocer de forma temprana, algunos de los últimos dominios registrados para esta campaña.
Listado completo de posibles siguientes dominios maliciosos: https://raw.githubusercontent.com/CronUp/EnAnalisis/refs/heads/main/2024-12-18_Dominios_FraudePuntosEntel_CN (algunos ya han estado operativos).
Además, algunos de estos dominios están siendo indexados activamente en Google, lo que aumenta su visibilidad y potencial alcance de la amenaza.
Monetización o Chash-out
Los datos exfiltrados incluyen información personal y de tarjetas de crédito, que, entre otros métodos, son agregadas a Apple Pay o Google Pay. Esto permite realizar compras fraudulentas o pagos de servicios, ampliando las posibilidades de monetización de los ciberdelincuentes.
Los videos a continuación fueron compartidos en canales de comunicación oficiales (ahora cerrados o privados) por algunos administradores y afiliados de estos grupos de phishing como servicio antes mencionados.
Con este tipo de videos, los distintos usuarios pretenden validar sus métodos y ganar reputación entre los grupos de cibercrimen con base en China.
Indicadores de Compromiso
Dominios de aterrizaje:
entele[.]vip
entell[.]vip
enteln[.]vip
entelx[.]vip
entele[.]top
entell[.]top
enteln[.]top
entelx[.]top
entellcl[.]top
entelocl[.]top
entecclcl[.]top
enteglcl[.]top
enteslcl[.]top
entelccl[.]com
enteldcl[.]com
entelfcl[.]com
entelvcl[.]com
entelvcl[.]top
entelbcl[.]top
entelkcl[.]top
entelncl[.]top
entelapp[.]top
enteolcl[.]top
entelicl[.]top
Dominios de exfiltración:
syadminiiiiiiii[.]top
sylanmaosg[.]top
sylanmaosg[.]top
shanslh[.]top
sylanmaoiiiii[.]top
Recomendaciones de Seguridad
Si una persona ha sido víctima de este fraude y ha entregado información sensible, como datos personales y de tarjetas de crédito, es crucial actuar rápidamente para minimizar el impacto. A continuación entregamos algunas recomendaciones para enfrentar esta situación.
1. Acciones inmediatas
- Contactar al banco o emisor de la tarjeta:
- Informar sobre el incidente y solicitar el bloqueo de las tarjetas.
- Pedir la re emisión de tarjetas (en el caso de que aplique, incluir la de coordenadas).
- Cambiar contraseñas:
- Si la contraseña de acceso a la banca ha sido comprometida, cambiarla de inmediato.
- Utilizar contraseñas únicas, robustas y distintas para cada servicio.
- Habilitar alertas de transacciones:
- Configurar alertas para cualquier tipo de transacción.
- Monitorear movimientos bancarios:
- Revisar transacciones recientes, buscar movimientos sospechosos y reportar cualquier operación no reconocida.
2. Proteger información personal
- Monitorear el uso indebido de la identidad:
- Revisar periódicamente informes de crédito para detectar cuentas abiertas fraudulentamente.
- Contactar autoridades locales:
- Dependiendo del caso, denunciar a la policía y/o entidad de protección al consumidor.
- Revisar configuraciones de privacidad:
- Limitar la cantidad de información personal visible en redes sociales para evitar ser un objetivo.
3. Prevención de futuros ataques
- Evitar repetir información en otros servicios:
- Si el mismo correo, contraseña o datos personales se usaron en otros sitios, cambiarlos de inmediato.
- Capacitación sobre ciberseguridad:
- Aprender a identificar SMS, correos y sitios fraudulentos. También solicitudes sospechosas de información sensible.
- Activar autenticación en dos pasos (2FA):
- Agregar una capa extra de seguridad en cuentas bancarias, correos electrónicos y redes sociales.
La rapidez y la proactividad son clave para reducir riesgos y daños tras un incidente de phishing.
Al finalizar el año es recurrente ver un aumento en este tipo de ataques o engaños, por lo cual es importante reforzar las medidas de seguridad básicas a la hora de recibir mensajes alarmistas o bien ofertas muy tentadoras que no hemos solicitado, ya sea por SMS, llamada telefónica o correo electrónico.
Las empresas deben considerar la implementación de capacidades y servicios para la alerta temprana de amenazas que permitan Identificar y rastrear dominios fraudulentos que simulan ser parte de la empresa, incluyendo variantes ortográficas (typosquatting), y frustrar la campaña del atacante mediante la gestión del Takedown o bajada de sitios junto con aplicaciones fraudulentas en colaboración con proveedores de servicios de internet (ISP), registradores de dominios y plataformas tecnológicas.
Mantendremos el monitoreo de esta campaña y proporcionaremos actualizaciones.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
