D3Lab

Ancora Phishing SNAI

Prosegue il tentativo dei cyber criminali di carpire le credenziali degli utenti del portale di scommesse on-line della SNAI, con i due tentativi odierni si arriva a quattro diverse pagine web fraudolente tutte attive, sebbene il primo rilevamento sia di giovedì 19.

I messaggi di posta fraudolenti odierni, partiti da indirizzi IP tedeschi, presentano le seguenti caratteristiche:

Mittente visualizzato: “Snai Card” <[email protected]>

Oggetto: Snai: novità! Abilita il nuovo sistema di sicurezza sulla tua snai card

testo del messaggio:

—————————————————————————–

Dal 22 gennaio entra in vigore la nuova legge per la sicurezza del tuo account snai.

Per poter giocare o scommettere online su Sport, Ippica, V7, Totocalcio, Big, Skill games, Giochi, Bingo, Superenalotto, Win for life occorre aggiornare il proprio account cliccando qui

Maggiori informazioni sono disponibili nella sezione Aiuto e su richiesta all’indirizzo [email protected].

Nei punti vendita contraddistinti dal marchio Punto SNAI presenti su tutto il territorio nazionale è possibile scommettere su Sport, Ippica, Tris, Totocalcio.

Per trovare i punti vendita più vicini, e con i prodotti di tuo interesse, visita la sezione Dove scommettere.

—————————————————————————–

con il collegamento ipertestuale alle pagine fraudolente celato dalla dicitura “cliccando qui”.

I rilievi permessi dall’ampio monitoraggio svolto da D3Lab permettono di attribuire la paternità degli attacchi al medesimo gruppo impegnato a colpire di operatori di telefonia mobile, i cui cloni vengono ora inseriti sul medesimo server FortressITX

21 Dicembre 2013/da Denis D3Lab

Phishing SNAI

Non categorizzato

Il passare del tempo sta evidenziando in modo sempre più lampante come il phishing non sia destinato a finire, ma solo a trasformarsi. I criminali con un minimo di fantasia possono portare le truffe, attraverso l’ingegneria sociale, verso gli utenti di tutti quei servizi per i quali sia un minimo plausibile la richiesta di dati personali o bancari/finanziari.

Negli ultimi mesi si sta assistendo ad un attacco sempre più massiccio verso enti non bancari, dai supermercati ai fornitori di energia, alle telco, ai portali di giochi e scommesse on-line.

Proprio sulle scommesse on-line tornano a colpire i criminali, dopo aver già rivolto in passato l’attenzione a Gioco Digitale ed Eurobet, mirando agli utenti del portale SNAI con un attacco dal sapore classico.

Il messaggio di posta fraudolento, partito da un indirizzo IP tedesco, presenta le seguenti caratteristiche:

Mittente visualizzato: Assistenza clienti

Oggetto: ЅNАІ: Տі рrеga ԁi segսіre lе iѕtruzіօոi ոеlle еmaіl. clіеոto: 139367252

Testo del messaggio:

———————————————————————————————————–

A causa della recente perdita di dati, la società SNAI si chiede di accedere subito al sito e controllare il saldo del conto.

Registrati ora

———————————————————————————————————–

dove “Registrati ora” cela il collagamento ipertestuale che conduce l’utente a visitare la pagina clone, posizionata su un server

della francese OVH usato sin dal 13 Dicembre per portare numerosi attacchi ai maggiori operatori di telefonia mobile italiani.

La pagina fraudolenta ha il solo scopo di catturare le credenziali di accesso all’account, visualizzando al loro inserimento un pop-up

di ringraziamento, redirigendo quindi al legittimo sito SNAI.

19 Dicembre 2013/da Denis D3Lab

Phishing Carrefour via SMS

Non categorizzato

Con l’approssimarsi delle vacanze era ipotizzabile il ritorno delle frodi inerenti la possibilità di risparmiare sugli acquisti di tutti i giorni e su quelli natalizi.

La nuova ondata di frodi volte a colpire i clienti della catena Carrefour viaggia sui dispositivi di telefonia mobile (cellulari, smartphone e tablet), attraverso sms provenienti dal numero di telefono 3270323258 (numero Wind) che con comunicazioni di questo tipo

“Carrefour: Vai sul sito www.carrefourspa.net e richiedi il buono omaggio di 300 euro FONDO MINISTERO SVILUPPO ECONOMICO“

forniscono al ricevente i link alle pagine fraudolente riproducenti la grafica già nota, aggiornata con l’inserimento di dell’elemento grafico del carrello con pacco regalo, da tempo presente nella prima pagina, anche nella seconda pagina.

(prima pagina fraudolenta)

(seconda pagina fraudolenta)

Nelle successiva pagine vengono richiesti i dati della carta di credito

e simulato il controllo del secure code Visa/Mastercard.

Sino ad ora sono stati individuati link a due siti/domini differenti

www.supercarrefour.com (attivo dal 5 Dicembre 2012)

www.carrefourspa.net

i quali contengono la sola home page costituita da un frame traente la sorgente rispettivamente da due diversi siti web, entrambi di recente creazione. Per tutti e due gli attacchi i criminali hanno utilizzato i medesimo fornitori di servizio

La metodica attuata per veicolare l’attacco è interessante perché pone i criminali in condizione di evadere, per ora, i tradizionali canali di monitoraggio per un certo lasso di tempo. Inoltre sarebbe interessante comprendere come i criminali abbiano composto le proprie liste di numeri di telefono a cui inviare i messaggi di testo fraudolenti. Se siano il risultato di ricerche svolte in rete o se possa trattarsi di dati “fuoriusciti” e correlati a reali utenti/clienti di servizi ed offerte Carrefour. In tale ipotesi i criminali starebbero portando attacchi ad elevato potenziale andando a colpire utenti reali dei servizi della società, già da tempo abituati a ricevere via sms informazioni ed offerte.

Update domenica 15 Dicembre 2013:

ulteriori accertamenti hanno portato all’individuazione di un terzo sito/dominio, www.carrefourbuono.org, attivo dal 7 Dicembre, anch’esso strutturato su un unica pagina con frame traente la sua sorgente da www.cadoubrochurpremium.com.

La sorgente del frame inserito in www.carrefourspa.net è invece stata modificata andando a puntare a www.impressioncat.com, questo sebbene le pagine clone posizionate in bussinesscountrymega.com, iniziale sorgente, siano ancora attive.

Ulteriori dettagli possono essere tratti dal post “Phishing Carrefour via SMS. Una interessante segnalazione da parte di un lettore del blog (13 dicembre)” e dai successivi su Edgar’s Internet Tools.

Ulteriori informazioni:

Continua il phishing Carrefour via SMS

Nessun dump da Carrefour SpA

14 Dicembre 2013/1 Commento/da Denis D3Lab

Phishing Telecom Italia Alice old style

Non categorizzato

L’approssimarsi del week-end ha visto tornare all’opera i criminali interessati a colpire gli utenti di Telecom Italia, nel caso specifico del servizio Alice.

In questo caso si è di fronte ad un tentativo di phishing di vecchio stampo, la “consegna” dei dati da parte delle vittime non è infatti veicolata attraverso l’uso di pagine web fraudolente, ma attraverso la risposta allo stesso messaggio di posta elettronica di attacco.

La mail che, come nel caso della scorsa settimana, è partita da un indirizzo IP britannico, presenta le seguenti caratteristiche:

Mittente visualizzato: “TELECOM ITALIA” <[email protected]>

Oggetto: **Security Alert** Verify Your Account

testo del messaggio:

———————————————————————————-

Titolare del conto Alice.it attenzione

Questo messaggio è da Alice Account Management Center.

Abbiamo notato attività sospetta nel tuo account su 13/12/2013. Per la tua protezione, è necessario verificare il tuo account in modo da continuare ad usare correttamente il tuo indirizzo email.

Per evitare interruzioni del servizio o possibile disattivazione del proprio account e-mail, è necessario fornire le informazioni richieste di seguito.

Nome:

Data di nascita:

Indirizzo email:

Password:

Conferma Password:

L’inosservanza di questa email porterà a deleating il tuo indirizzo e-mail dalla nostra database di posta elettronica.

Grazie per la vostra comprensione, vi auguriamo una piacevole giornata in avanti.

L’Alice team di supporto tecnico,

Rete webmail account Management Center.

———————————————————————————-

Rispondendo alla mail si inviano le credenziali ad un indirizzo mail di gmail.

14 Dicembre 2013/da Denis D3Lab

Phishing Vodafone Template migliorato

Non categorizzato

Si è intensificata, in questo terzo quadrimestre, l’attività dei cyber-criminali a danno dei clienti delle Telco italiane, con l’individuazione di nuovi target, quali Telecom Italia ed i suoi servizi per le imprese, e con l’aggiornamento dei template delle pagine clone.

Già in un tentativo di phishing a danno degli utenti Vodafone dei giorni scorsi si era visto l’utilizzo di un nuovo template, adeguato a quello implementato sulle pagine legittime, con risultati dal punto di vista grafico abbastanza scadenti.

a distanza di quattro giorno viene portato un nuovo attacco, facendo uso del medesimo sito violato, in cui è stato inserito un nuovo template dalla grafica decisamente più accattivante e curata.

Il messaggio di posta elettronica fraudolento, partito da un indirizzo IP britannico, presenta le seguenti caratteristiche:

Mittente visualizzato: Vodafone <[email protected]>

Oggetto: Scegli il pacchetto adatto a te

Testo del messaggio (in base64):

————————————————————————————–

Gentile cliente,

Scegli il pacchetto adatto a te completamente gratis.

Ricarica online e i tuoi punti Vodafone one valgono il doppio.

Ricarica adesso

————————————————————————————–

9 Dicembre 2013/da Denis D3Lab

Phishing Telecom ImpresaSemplice

Non categorizzato

I cyber criminali con l’approssimarsi del week-end, esattamente come avvenuto la settimana scorsa (Phishing Telecom [29/11/2013]), nella giornata di Venerdì 6 Dicembre sono tornati a colpire gli utenti di Telecom Italia, nel caso specifico mirando agli account delle imprese facenti uso del servizio “impresa Semplice”.

Il messaggio di posta fraudolento, partito da un indirizzo IP britannico, presenta le seguenti caratteristiche:

Mittente visualizzato: Impresa Semplice di Telecom Italia <[email protected]>

Oggetto: Aggiorna la tua mail Impresa Semplice di Telecom Italia

Testo della mail (html):

—————————————————————————————————————————————-

E’ necessario verificare la tua email Clicca qui per verificare

—————————————————————————————————————————————-

Il link porta ad una singola pagina web, riproducente i loghi di Telecom Italia e Tim, inserita in un sito belga basato su WordPress.

Una volta inseriti i dati l’utente viene riportato sulle pagine web nel corretto dominio Telecom Italia.

7 Dicembre 2013/da Denis D3Lab

Phishing Telecom

Non categorizzato

Gli attacchi di phishing finalizzati a carpire i dati di accesso alle mail box rappresentano un’attività per nulla secondaria rispetto al phishig finanziario, colpindo tutti i principali servizi di posta quali Gmail, Yahoo, Hotmail, Aol, ecc….

In ambito italiano in passato si sono rilevati tentativi di frode agli utenti dei servizi di posta di Libero e Tiscali, senza poi scordarsi dei dati di accesso alle mail box richiesti all’interno del phishing finanziario, come avvenuto nell’ultimo tentativo di frode ai danni dei clienti di Banca Popolare di Milano.

Nella giornata odierna D3Lab ha rilevato un tentativo di phishing a danno degli utenti Telecom Italia, le cui credenziali di accesso

al servizio di posta sono richieste in pagine fraudolente riproducenti il logo Telecom posizionate nel dominio “isilis” registrato gratuitamente presso 000webhosting.com, quale dominio di terzo livello.

Il dominio è stato presumibilmente creato al fine di realizzare il tentativo di frode, la root directory risulta esplorabile ed evidenzia

la presenza di 4 file:

– itit.htm è la pagina fraudolenta per ingannare gli utenti Telecom ed invia le credenziali al file ok.php;

– tr.htm è invece una pagina simile alla precedente, riportante i loghi di 163.com e Yeah.net, provider cinesi, Yahoo, WindowsLive

e Gmail, realizzata per ingannare gli utenti di tali servizi, le cui credenziali vengono gestite dal file m.php che, incomprensibilmente riporta al sito della Union Bank of Africa.

29 Novembre 2013/da Denis D3Lab

Phishing Banca Popolare di Milano

Non categorizzato

Nella giornata di ieri mercoledì 27 Novembre 2013, D3Lab ha rilevato un attacco di phishing, al momento (09:30 del 28/11/2013) ancora attivo, a danno degli utenti di Banca Popolare di MIlano.
Il tentativo di frode, come sempre più spesso sta avvenendo, non mira tanto a carpire i dati dell’home banking, quanto quelli della carta di credito e della mail box degli utenti.

La mail di attacco, che appare essere stata inviata attraverso uno script php inoculato in un sito web spagnolo, presenta le seguenti caratteristiche:

Mittente visualizzato: Banca Popolare di Milano <[email protected]>

Oggetto: Avviso importante da BPM Banking

Testo della mail (html):

————————————————————————————————————

Gentile Cliente,

Il tuo account è stato posto sulle restrizioni speciali a causa di recenti operazioni.

Si prega di visitare il link sottostante per confermare la tua identità e per riconquistare il suo valore e l’accesso al tuo profilo bancario.

https://www.bpmbanking.it/pub/xbank/home.do

L’impossibilità di eseguire questo passaggio comporterà la sospensione permanente del tuo account.

Cordialmente,

Banca Popolare di Milano Società Cooperativa a r.l.

P.IVA 00715120150 – Gruppo Bipiemme

————————————————————————————————————

Il collegamento ipertestuale nasconde il link a

http://bpmbanking.it-pub-xbank-home.do.0af7806a38a1ba9d9cbac36ad9aeda70e1c.0d0146638fd6ae870e1c044a751271270af789147127011.[break] 0af7806a38a1ba9d9cbac36ad9aeda70e1c638fd6ae870e1c044a75.sysbanknet.com/Bpmbanking/d/fb6e1d4757d56e73d885e11baa1c9c40/main.php

le pagine di phishing si trovano quindi nella directory fb6e1d4757d56e73d885e11baa1c9c40/ tuttavia copia delle stesse è individuabile in Bpmbanking/

La prima pagina mira a catturare i dati di accesso all’home banking,

trasmettendoli attraverso il metodo GET, codificati in base64,

alla pagina successiva dove, come mostrato dall’immagine sottostante, vengono richiesti dati personali, della carta di credito e di accesso alla casella di posta elettronica.

Il dominio utilizzato risulta registrato nell’aprile 2011 a nome di una società spagnola, tuttavia non risultano essere presenti pagine od informazioni.

E’ interessante notare come usando, non è dato sapere se volutamente, negli header della mail un indirizzo non appartenente a Banca Popolare di Milano

Reply-To: [email protected]

i phisher evitano di far giungere all’istituto le notifiche di mancato recapito per la mail inviate ad indirizzi inesistenti, situazione che dovrebbe/potrebbe generare nell’ufficio preposto i necessari warning proprio inerenti il possibile spread dell’attacco.

28 Novembre 2013/da Denis D3Lab

Tesco Bank phishing

Phishing

Tesco is one of the biggest general merchandise retailer operating worldwide. Since several years Tesco offers phone and bank services.

Tesco Bank is one of the targets of cyber criminals, interested in capturing home banking and credit cards data.

In the Net we can find mainly one phishing kit. It’s composed by 2 folders called tesav/ and tescr/, both containig about a hundred html files, all equal, and different php files, as showed in pictures below.

files in tesav/ directory

files in tescr/ directory

The two directory show to the visitors phishing pages that use two different tempaltes:

dir tesav template

dir tesav/ step 1

dir tesav/ step 2

dir tesav/ step 3

dir tescr template

dir tescr/ step 1

dir tescr/ step 2

dir tescr/ step 3

dir tescr/ structure

In both cases cyber criminals ask for account access data and personal data, but only pages in tescr/ directory ask for credit card data. In all cases, after sending data in the third page, visitors go back to trusted Tesco Bank web site.

D3Lab started monitoring phishing against Tesco Bank users in the beginning of the last August, identifying 58 different kit installation. If each kit presents 200 html pages, the phisher may count on 11600 different fraud url.

Analysing phishing kit is possible determinate that stolen credentials have been sent via mail to criminals .

D3Lab identified ten different email addresses (gmail.com, aol.co.uk, hotmail.co.uk, bluemail.com, mail.mn) used by criminals, that could be operating at least in two or three different teams.

Luckily Tesco Bank seems to be very attentive about the on-line fraud problem, in it’s web site it presents several pages about phishing, fraud and how to operate in case them occur:

Guard against phishing;

How to identify a genuine Tesco Bank email;

How Fraud occurs;

How we protect you;

Security and fraud.

Update 2016/11/08 (three years late):

phishing against Tesco Bank users, D3Lab monitoring

22 Novembre 2013/da Denis D3Lab

Con cosa vengono visitate le pagine di phishing

Non categorizzato

L’avvento dei dispositivi mobili porterà alla fine del fenomeno phishing?

L’analisi di alcuni dati estratti da file di log relativi a siti web coinvolti in recenti casi di phishing ai danni degli utenti di un ente

italiano forniscono alcune informazioni interessanti. I due casi in esame hanno permesso di raccogliere informazioni relativa a 218 differenti visitatori delle pagine di phishing. Ipotizzando che nessuno di loro abbia utilizzato estensioni del browser atte a modificare lo user agent trasmesso dal browser al server e che quindi i dati sia corretti, si evidenzia, come riportato nella tabella sottostante,

come il 24,7 % sia giunto sulle pagine fraudolente facendo uso di dispositivi mobili, il 61,9 % abbia fatto uso di sistemi operativi Microsoft Windows, il 41,5 % dei quali datati, ed il restante 38,1 di sistemi operativi di derivazione Unix, rientrando tra di essi i dispositivi mobili.

Per il futuro ci si può aspettare un aumento dei dispositivi mobili, in considerazione del fatto che anche gli smartphone di recente produzione hanno display sufficientemente ampi da consentire una fruizione abbastanza comoda dei contenuti web.

Sebbene i browser di cui tali dispositivi sono dotati implementino i meccanismi di sicurezza atti ad avvisare l’utente della visualizzazione delle pagine web fraudolente, non sempre queste sono segnalate tempestivamente ed esiste, quindi, un intervallo temporale nel quale il criminale può perpetrare il proprio atto criminoso, traendo vantaggio anche dalle ridotte dimensioni del display.
Queste potrebbero non permettere all’utente di riconoscere correttamente il dominio visitato, dettaglio essenziale a cui porre attenzione se pensiamo che i criminali, pur di riuscire nella frode, sono disposti a spendere per un certificato SSL da abbinare a domini creati ad-hoc.
Certificato la cui presenza è invece evidenziata chiaramente nella barra degli indirizzi, distogliendo l’attenzione della vittima dal reale dominio visitato e mal visualizzato nel display di ridotte dimensioni del dispositivo mobile.

I dati relativi ai sistemi operativi utilizzati lasciano poi il fianco a diverse considerazioni: da una parte esiste la possibilità che i criminali implementino le pagine di phishing con exploit volti a colpire browser e sistemi datati per inocularvi malware, metodica al momento poco diffusa, dall’altra il crescente numero di utilizzatori di dispositivi mobili, rappresentanti già quasi un quarto del totale, potrebbe portare le organizzazioni criminali ad investire maggiormente per lo sviluppo di applicazioni per tali dispositivi, da distribuirsi attraverso pagine e mail di phishing, o fatte tanto bene da riuscire a superare i controlli degli apps store.

6 Novembre 2013/da Denis D3Lab