Braziliaanse cybercriminelen gebruiken een combinatie van e-mail, social engeering en kwaadaardige scripts om de DNS-servers van routers te wijzigen, zodat gebruikers bij het bezoeken van hun bank op een phishingpagina uitkomen. De aanval begint met een e-mail die een link bevat.

Volgens het bericht wordt de ontvanger van de e-mail door zijn partner bedrogen en zijn hier foto's van online te vinden. De link in de e-mail wijst naar een website vol met pornofoto's. In de achtergrond draait deze website verschillende kwaadaardige scripts die op de router van de gebruiker proberen in te loggen. Dit wordt gedaan via standaard gebruikersnamen en wachtwoorden.

Als de gebruiker geen standaard inloggegevens gebruikt verschijnt er een pop-up waarin om deze gegevens wordt gevraagd. Vult de gebruiker deze gegevens in of worden er standaard gebruikersnamen en wachtwoorden gebruikt, dan wijzigen de scripts de DNS-instellingen van de router. Deze aanpassingen zorgen ervoor dat de websites van grote Braziliaanse banken naar de websites van de criminelen achter de aanval wijzen.

Doordat de e-mails in de e-mailcampagne verkorte URL's gebruiken is het mogelijk om te zien hoeveel mensen ook daadwerkelijk op de link in het bericht hebben geklikt. In drie dagen werden er 3300 clicks gemeten, zo meldt het Russische anti-virusbedrijf Kaspersky Lab. Het is echter onbekend van hoeveel routers de DNS-instellingen zijn aangepast. Om zich te beschermen krijgen gebruikers het advies om het wachtwoord van hun thuisrouter te wijzigen en de inloggegevens hiervoor nooit in te vullen als een website hierom vraagt.