Algunos Malwarebytes han observado recientemente que se producen frecuentes alertas de protección web mientras leen sus correos electrónicos en la interfaz web de Yahoo Mail. Estas alertas se deben a conexiones en segundo plano que se establecen desde la página de Yahoo Mail hacia una serie de dominios de terceros que nuestros productos y otras herramientas de seguridad clasifican actualmente como de riesgo.
Lo que vemos «bajo el capó»
Al abrir Yahoo Mail en un navegador, la página carga varios componentes integrados para la navegación, las funciones y las métricas. Como parte de este proceso, la interfaz realiza solicitudes a dominios como cook.howduhtable.com y los subdominios relacionados, a veces en el contexto de direcciones URL que incluyen /ybar/mail.yahoo.com/ y un parámetro codificado largo. Esa cadena codificada suele corresponder a una URL como:
https://gpt.mail.yahoo.net/sandbox?client=novation&version=0.1&haq=1&cache=1
Esto sugiere que el tráfico se está desviando a través de lo que parece ser un componente web aislado que Yahoo puede utilizar para fines como la telemetría, la infraestructura de pruebas o funciones de correo electrónico. También podría formar parte de un flujo publicitario o de seguimiento, pero por el momento no podemos afirmar con certeza para qué lo está utilizando exactamente Yahoo.
Independientemente de la intención, varios sistemas de seguridad han detectado estos dominios de redireccionamiento y les han asignado una reputación negativa. Entre sus características se incluyen:
- Subdominios opacos que cambian con frecuencia y que no se parecen a las direcciones habituales de Yahoo destinadas a los usuarios
- El uso de parámetros codificados y redireccionamientos encadenados que dificultan que los usuarios —y, en ocasiones, los administradores de seguridad— puedan ver el destino final de un solo vistazo
- Detecciones y listas de bloqueo existentes de otros proveedores que clasifican la infraestructura como sospechosa o potencialmente maliciosa
Debido a estas señales, Malwarebytes Protection y Browser Guard estado bloqueando una lista cada vez mayor de subdominios relacionados para proteger a los usuarios, por lo que algunas personas ven alertas repetidas mientras utilizan Yahoo Mail.
Lo que no estamos diciendo
Es importante tener claro lo que sabemos y lo que no sabemos.
Nohemos podido determinar que Yahoo Mail en sí esté comprometido ni que Yahoo esté distribuyendo deliberadamente malware a través de su plataforma de correo electrónico. Lo que sí podemos afirmar es que hay componentes de terceros o internos, a los que se accede desde la interfaz web de Yahoo Mail, que establecen conexiones a través de dominios cuyo comportamiento es muy similar al de la infraestructura que suele asociarse con publicidad maliciosa o engañosa y con actividades de rastreo.
Desde el punto de vista de la seguridad, esto genera un riesgo innecesario. Cualquier mecanismo que inserte contenido o ejecute componentes en un entorno aislado a través de cadenas de redireccionamiento opacas podría, si se utilizara indebidamente o se manipulara en el futuro, exponer a los usuarios a contenido dañino sin que estos hayan hecho clic en ningún enlace sospechoso.
El bloqueo de estos dominios es una medida de precaución acorde con nuestras normas habituales de protección.
¿Por qué Malwarebytes estos redireccionamientos?
Nuestra decisión de bloquear estas conexiones se basa en una combinación de datos técnicos sobre el comportamiento y datos de reputación de terceros:
- Los redireccionamientos se activan mediante componentes integrados en la interfaz de Yahoo Mail, y no porque los usuarios accedan a esos dominios de forma intencionada
- La infraestructura se basa en dominios y subdominios que cambian con frecuencia y carecen de significado, un patrón que solemos observar en sistemas publicitarios y de seguimiento maliciosos o evasivos
- Varios proveedores de seguridad y fuentes de reputación automatizadas ya señalan estos dominios como peligrosos o maliciosos, y algunos los han relacionado con actividades no deseadas o perjudiciales
Por este motivo, Malwarebytes bloquean actualmente las conexiones a estos dominios de terceros cuando se activan como parte de la experiencia web de Yahoo Mail. Estonosignifica que todo Yahoo Mail se considere malicioso. Significa que estamos interrumpiendo específicamente un conjunto reducido de llamadas en segundo plano que presentan un riesgo elevado.
Qué significa esto para los usuarios
Si utilizas Yahoo Mail en un navegador con Malwarebytes , es posible que veas lo siguiente:
- Alertas de protección web o MWAC que hacen referencia a dominios como
cook.howduhtable.como nombres similares mientras lees o redactas un correo electrónico - Múltiples alertas en un breve periodo de tiempo, ya que la interfaz de correo electrónico puede volver a intentarlo o alternar entre diferentes subdominios o direcciones IP de la misma familia
En la mayoría de los casos, el contenido del correo electrónico se sigue cargando, aunque es posible que algunos elementos incrustados, métricas o contenidos publicitarios no se carguen o se comporten de forma diferente.
Cómo mantenerse a salvo y reducir las interrupciones
No deberías tener que reducir tu nivel de seguridad para seguir utilizando Yahoo Mail. A continuación te indicamos algunas medidas prácticas que puedes tomar:
- Mantén activada Malwarebytes
. Mantener Browser Guard las funciones «Web Protection» y Browser Guard garantiza que los bloqueos sigan vigentes en caso de que estos redireccionamientos cambien de comportamiento o empiecen a mostrar contenido dañino en el futuro. - Evita añadir a la lista de permitidos los dominios sospechosos
. Aunque técnicamente es posible añadir exclusiones para dominios concretos, hacerlo permitiría que su tráfico se cargara sin filtrar en tu navegador. No te lo recomendamos a menos que comprendas y aceptes plenamente el riesgo. - Utiliza windows privadas o de incógnito windows Yahoo Mail
. Acceder a Yahoo Mail en una sesión privada o de incógnito puede ayudar a reducir la persistencia de ciertos datos de seguimiento y publicidad, ya que el navegador elimina las cookies y el almacenamiento local al cerrar la ventana. - Borra periódicamente las cookies y los datos del sitio
. Si ves alertas repetidas, borrar las cookies y los datos almacenados en caché relacionados con Yahoo puede reducir parte del comportamiento de seguimiento subyacente que provoca estos redireccionamientos. - Considera opciones con menos anuncios
. Yahoo ofrece planes de pago que reducen o eliminan los anuncios, y los usuarios también pueden utilizar extensiones de bloqueo de contenido de confianza junto con Malwarebytes reducir el comportamiento impulsado por la publicidad en las interfaces de correo web.
Nuestro seguimiento continuo
Los dominios y la infraestructura implicados en estas redirecciones se gestionan fuera de Malwarebytes, y su configuración o comportamiento pueden cambiar con el tiempo. Estamos supervisando activamente los datos de telemetría, los informes del entorno de pruebas y los datos de reputación de estos dominios y la infraestructura relacionada, y ajustaremos nuestras detecciones si surge nueva información.
Nuestra prioridad es garantizar la seguridad de los usuarios y, al mismo tiempo, explicar con transparencia por qué se producen estos incidentes de seguridad, especialmente en servicios tan utilizados como el correo web. Si obtenemos más información sobre la función exacta de este componente dentro de Yahoo Mail, o si Yahoo aporta más detalles, actualizaremos este artículo en consecuencia.
Detén las amenazas antes de que puedan causar ningún daño.
Malwarebytes Browser Guard automáticamente las páginas de phishing y los sitios maliciosos. Es gratis y se instala con un solo clic. Añádelo a tu navegador →
