Google Docs permite almacenar y distribuir malware. Los delicuentes lo aprovechan

Hace algunos meses pudimos comprobar en una investigación que llevamos a cabo en Segu-Info como Google Docs, Google Drive, así como también Skydrive de Microsoft, y otros servicios de almacenamiento en la nube, permiten almacenar archivos de malware. Y como era posible distribuir exitosamente los vínculos a esos archivos, sin obstáculos.

Decidimos no darlo a conocer en tanto no vimos que esto había sido aún explotado y no parecía muy fácil engañar al destinatario.

Bien, menos de tres meses después de esa investigación, recibimos por una denuncia el primer ejemplar de este tipo de abuso. Se trata de un correo que recibimos en denuncias.


Una captura del correo:

El correo engañoso (un malspam, spam con malware) es tradicional, un falso mensaje que invita a ver el enlacede un pedido inexistente el cual tiene un vínculo a un sitio de buena reputación: Google.com
Con esto los delincuentes consiguen: a) evitar sistemas de filtrado de correo por reputación de los enlaces y b) engañar al usuario mismo.

El enlace es: https://docs.google.com/uc?id=[ELIMINADO] y provoca la descarga de un archivo de nombre Inclusao-Serasa04.com el cual es detectado solo por 10/41 antivirus según el reporte de VirusTotal.

Hasta el momento podemos decir que este archivo es un malware bancario.

Recomendación

Como se ve en este nuevo caso de malspam, es muy importante estar alerta al contexto y recordar no seguir enlaces no solicitados, aún cuando sean de sitios confiables. Hasta Google.com (Docs) está siendo abusado por los delincuentes.

Conclusiones:

En nuestra opinión, los sistemas de almacenamiento en la nube no deberían permitir este tipo de abuso.
Si el correo de Google, Gmail, no permite adjuntar archivos de programas, ejecutables, "por razones de seguridad": 

¿porqué permite Google Docs almacenar y así facilitar la distribución y descarga sin advertencias ni precauciones, de archivos de programa?

Actualización: Se ha informado a Google de lo que entendemos es una falla de diseño.

Raúl de la Redacción de Segu-Info