D3Lab

Romania ai primi posti

Spesso le cronache riportano notizie di frodi digitali, in particolare relativamente alla clonazione di bancomat e carte di credito, evidenziando il coinvolgimento in tali attività criminose di cittadini rumeni.

Sfortunatamente non si tratta di un luogo comune, di considerazioni fomentate da focolai xenofobi.

L’analisi degli attacchi di phishing consente non di rado di determinare come diverse attività finalizzate all’implementazione della struttura di attacco vengano portate da indirizzi IP rumeni, in altri casi (come più volte riportato da Edgar’s Internet Tools ed in passato su DenisFrati.it) l’analisi dei kit di phishing, l’insieme delle pagine costituenti i siti clone, rivela nel codice la presenza di numero commenti in lingua rumena.

Tale coinvolgimento è evidenziato anche dall’odierno tentativo di frode a danno degli utenti Vodafone.
La mail fraudolenta che centinaia di utenti del web avranno trovato stamane nelle proprie caselle di posta, transitata per un server di

posta indonesiano, riprende l’attuale offerta ampiamente pubblicizzata in televisione per la promozione Vodafone Summer Smart500 e presenta le seguenti caratteristiche:

Mittente visualizzato: “Vodafone” <vodafone_smart@mail.vodafone.it>

Oggetto: Smart 500 ti costa la metà.

Testo del messaggio (codificato in base64):

———————————————————————————————————–

GENTILE CLIENTE,
SUMMER PROMO 500 Vodafone fino al Giovedi 11 luglio 2013 ti premia con il doppio della ricarica in più sulle ricariche effettuate online.
In più Vodafone ti regala 2500 minuti gratis per parlare verso tutti i numeri Vodafone e internet illimitato.

Scegli il metodo che preferisci e ricarica:

www.vodafone.it

Grazie per avere scelto Vodafone per i tuoi acquisti. Scopri l’Area di Assistenza: potrai trovare guide,
video, manuali e strumenti per utilizzare al meglio tutti i servizi Vodafone.

Servizio Clienti Vodafone

Questo è una mail inviata automaticamente. Ti chiediamo di non rispondere a questo indirizzo.

———————————————————————————————————–

Il link proposto nella mail conduce a pagine web fraudolente posizionate in un dominio .eu, registrato ad hoc a nome di un cittadino

italiano nella giornata di ieri, su un server condiviso con altri 481 domini.

Registered July 9, 2013
Expiry Date July 31, 2014
Last update July 9, 2013, 3:00 pm

su un server condiviso con altri 481 domini.

L’attività di analisi ha permesso di recuperare il kit del criminale dalla cui analisi emerge

1- la nidificazione di pagine di phishing

per Lottomatica e Poste Italiane a cui l’utente viene inviato in base alla tipologia di carta di credito inserita per l’acquisto della presunta offerta, come mostrato dalle immagini sottostanti.

2- presenza di commenti al codice dei file php

che il traduttore di Google determina essere in lingua rumeno.

L’esame dei file php indica che le credenziali carpite alle vittime vengono via mail ad uno specifico indirizzo mail,

già rilevato nei giorni scorsi in relazione ad altri tentativi di frode a danno di utenti Vodafone e Poste Pay.

Quanto sopra descritto, così come quanto riportato nei blog sopra citati, sembra indicare un forte orientamento per le organizzazioni criminali rumene verso il mondo digitale.

10 Luglio 2013/da Denis D3Lab

enti colpiti da phishing 1° semestre 2013

Phishing: statistiche primo semestre 2013

Non categorizzato

Il primo semestre 2013 si conclude confermando il phishing quale minaccia sempre attuale!

Nei primi sei mesi dell’anno D3Lab ha rilevato 1247 differenti url fraudolente di attacco. In più di un caso tali url sono state riutilizzate più volte consecutivamente, anche a distanza di diversi mesi.

Incredibilmente alcuni file fraudolenti, in particolare i file php inoculati in host remoti ed usati dai criminali per la gestione delle credenziali inserite nei file htm/html allegati alle mail di attacco, sopravvivono per settimane, addirittura mesi.
L’utente non visualizzando il file remoto non ne segnala l’esistenza ed una carente analisi dell’attacco non porta alla sua eliminazione.

Il confronto degli attacchi portati ai vari enti nei semestri 2012 e nel semestre appena conclusosi conferma Poste Italiane quale ente maggiormente attenzionato dai criminali, sempre interessati alla “conquista” dei dati degli account Poste Pay, mentre Carta Si, che lo scorso anno si era ritagliata il secondo posto nell’interesse delle organizzazioni criminali, può vantare una forte contrazione di attacchi in questi primi sei mesi.

Anche Banca Popolare dell’Emilia Romagna ed Unicredit hanno avuto un sostanzioso calo nei tentativi di frode ai loro clienti, al contrario di Lottomatica, la cui card si è rivelata ancora un obbiettivo di deciso interesse per le organizzazioni malavitose, nonostante il calo del secondo semestre 2012.

Il cyber crime ha confermato il proprio interesse per PayPal, probabilmente l’ente più colpito a livello mondiale (monitorato da D3Lab solo relativamente ai tentativi di frode in lingua italiana), così come per Intesa San Paolo, Eni/Agip, Vodafone e Wind.

Il semestre appena conclusosi ha mostrato un forte interesse dei criminali per le società non bancarie, eroganti servizi per i quali sono plausibili offerte attraverso le quali le organizzazioni criminali mirano ai codici di carta di credito degli utenti.

Delle nuove new entry meritevoli di citazione solo Deutsche Bank è ..appunto una banca, mentre per quanto riguarda Venere.com/Expedia, Eurobet e TIM i criminali mirano alle carte di credito, chiedendo direttamente le credenziali o tentando di conquistare l’accesso agli account da cui recuperare tali dati.

Analizzando le modalità di attacco, sia su base quadrimestrale

che semestrale

si assiste ad un incremento degli attacchi con link diretto a sfavore di quelli con redirect, in decisa flessione, e con form. Per questi ultimi è quasi scomparso l’uso di allegati mht, precedentemente rappresentanti una minoranza.
La forte riduzione di questi ultimi e in parte da imputarsi al crollo dei tentativi di frode a Carta Si, avendo rappresentato nell’anno passato la metodica maggiormente usata nei tentativi di frode agli utenti di tale card.

Dal punto di vista operativo si sono rilevati alcuni aspetti di particolare interesse:

1- l’aumento di dominio creati ad hoc, talvolta con l’acquisto dei certificati ssl al fine di rendere maggiormente ingannevole la frode;

2- l’utilizzo di svariate metodiche al fine di ovviare ai meccanismi di black listing attraverso complessi meccanismi con innumerevoli redirect gestiti da script,

con la creazione di path finali aventi nomi univoci,

o con l’uso di file htaccess che consentono di avere diversi path/url di attacco puntanti alla medesima struttura.

3- l’inserimento di phishing nidificati a cui l’utente approda in base al gestore della carta di credito da lui posseduta e di cui ha inserito incautamente i dati.

D3Lab coglie l’occasione per sfatare due luoghi comuni:

il phishing miete molte vittime, basta leggere i file nei quali i criminali scrivono talvolta le credenziali catturate, per rendersene conto;
non è affatto vero che tutto avviene dall’estero, che non vi sia il coinvolgimento di soggetti italiani. I cyber criminali per fare cash out necessitano anche di operatori in Italia, sono loro necessari per attivare conti e account e studiare la struttura da colpire. Ma non solo, il monitoraggio costante consente di rilevare l’utilizzo di server, domini creati ad hoc, indirizzi ip e caselle di posta elettronica con domini .IT o comunque residenti su territorio nazionale, sui quali forze di polizia e magistratura hanno giurisdizione.

Il contrasto e l’azione investigativa sono possibili e D3Lab è sempre disponibile, sia verso le aziende, sia verso le forze dell’ordine e della magistratura.

9 Luglio 2013/da Denis D3Lab

Phishing Carrefour Italia

Non categorizzato

In questo momento di crisi economica le famiglie sono sempre più attente alle offerte nel tentativo di risparmiare anche sulle spese di tutti i giorni. I criminali ne sono consci e, come si è rilevato in passato con le false offerte Tim, Vodafone, Wind e Agip, con molta fantasia e facilità propongono false offerte miranti a catturare i dati delle carte di credito degli utenti più ingenui.

Nella giornata di ieri, domenica 7 Giugno 2013, è stato rilevato un tentativo di frode ad opera dei medesimi autori delle recenti frodi Agip/Eni, facente uso di marchi e loghi Carrefour.

Il messaggio di posta elettronica fraudolento, partito da un server britannico, presenta le seguenti caratteristiche:

Mittente visualizzato: “Leggi come ottenere 500 Euro da Carrefour” <carrefour10@carrefour.it>

Oggetto: Carrefour ti restituisce 500 euro di Buono Spesa

Testo del messaggio:

————————————————————————————————————————————————–

Con il DECRETO-LEGGE 8 aprile 2013, n. 35
in cui il Consiglio dei Ministri anticipa i pagamenti alle P.A. e aiuti per le famiglie,

Carrefour Spa ti consente di acquistare la carta Prepagata SpesAmica del valore di 500 Euro al prezzo di 100 Euro

(80% rimborsato dal Ministero dello Sviluppo Economico).

segui le indicazioni su :

Carrefour Italia Spa

_________________________________________________________________________

con sede legale in Milano, via Caldera 21, capitale sociale Euro 12.000.000,00 i.v., codice fiscale, partita IVA e numero di iscrizione del Registro Imprese di Milano 08652300156

————————————————————————————————————————————————–

Il link proposto porta i visitatori a visualizzare la pagina all’url hxxp://carrefour.cable-modem.org, spazio web di un dominio registrato

prosso No-IP.com. Il sorgente evidenzia come in realtà il codice delle pagine sia visualizzato attraverso un frame, il cui reale sorgente

è all’indirizzo evidenziato in rosso nell’immagine soprastante. Il dominio 1nove1.net risulta essere stato registrato il 4 Luglio scorso.

Cliccando sul pulsante “Registrati” al fine di accedere all’offerta, si visualizzano pagine la cui struttura abbiamo imparato a conoscere esaminando i tentativi di frode più recenti a danno della compagnie di telefonia mobile e di Agip/Eni, in cui vengono chiesti dati anagrafici e delle carte di credito

Le pagine web successive, aventi funzioni di verifica, contengono phishing “nidificati” con richieste di ulteriori dati relativi agli account od ai gestori delle carte i cui dati sono stati inseriti.

E’ interessante notare, come ben evidenziato nell’analisi pubblicata su Edgar’s Internet Toos, i molti fattori che accomunano questo attacco con quelli alle compagnie telefoniche e ad Agip/Eni: layout pagine, link relativi, css, domini, ecc… Addirittura il criminale non si è nemmeno preso la briga di ricreare i path interni delle directory, mantenendo, come evidenziato nell’immagine sottostante, quelli relativi ai siti clone usati per le frodi con loghi e marchi Agip/Eni.

La comunanza di fattori tra i diversi attacchi, così stretta da potersi definire quale modus operandi e firma, permette di correlare molteplici tentativi di frode ad un unico soggetto criminale, presumibilmente non costituito da un singolo individuo. A fronte di una organizzazione a delinquere tanto attiva e spudorata siamo certi le forze dell’ordine sapranno mettere in campo le idonee strutture e risorse. D3Lab rinnova la propria disponibilità a dare ausilio all’attività investigativa.

8 Luglio 2013/da Denis D3Lab

MAT (military Advisor Team) Training

Non categorizzato

Il cambiamento degli scenari politici in Afghanistan ha a tempo portato la coalizione ISAF a modificare il proprio impegno a favore delle popolazioni e del governo locale. All’iniziale supporto alla formazione della polizia afghana con i police advisor team si è affiancato il supporto alla formazione delle forze armate afghane con i MAT (Military Advisor Team).

D3Lab è stata chiamata a partecipare alla formazione del personale militare italiano inviato in Afghanistan presentando nuovamente, presso le aule del Centro Addestramento Alpino dell’Esercito di Aosta, le lezioni relative al repertamento degli indizi digitali che possono essere rinvenuti in teatro di operazioni.

Onorati del compito assegnatoci!

24 Giugno 2013/da Denis D3Lab

Phishing Eurobet

Non categorizzato

Eurobet è un sito di scommesse on-line, con dominio .it registrato dalla Eurobet UK Limited sin dal 2000.

L’utente del sito crea presso lo stesso un proprio conto/portafoglio sul quale caricare il credito per effettuare le scommesse e successivamente riscuoterlo. I criminali, che attraverso una mail in cui segnalano problemi di sicurezza relativi all’account mirano a

carpire le credenziali di accesso all’account, potrebbero abusare dell’account “conquistato” per svuotare il conto virtuale dal credito accumulato dal legittimo giocatore, o per scommettere con soldi di provenienza illecita, ricaricando il conto da carte di credito i cui dati sono stati carpiti con altri attacchi di phishing.

La falsa pagina web è finalizzata alla sola cattura di username e password dell’account. Una volta inseriti i dati e premuto il pulsante di invio si approda su una seconda pagina che conferma il corretto svolgimento dell’operazione di verifica. Ogni link presente in quest’ultima pagina conduce al vero sito di scommesse.

24 Giugno 2013/da Denis D3Lab

Cyber Defence Symposium 2013

Non categorizzato

D3Lab ha avuto il piacere di essere chiamata a partecipare all’edizione 2013 del Cyber Defence Symposium organizzato dalla Scuola Telecomunicazioni delle Forze Armate.

L’evento svoltosi nella splendida cornice di Sestri Levante nelle giornate del 16 e 17 Maggio ha visto la partecipazione di numerosi ospiti, con interventi volti a proporre soluzioni commerciali ed interventi divulgativi/formativi di altissimo livello, con relatori di grande professionalità e competenza quali Giuseppe Dezzani, Paolo Dal Checco e Mattia Epifani per la digital forensics, la dottoressa Francesca Bosco, ricercatrice dell’UNICRI in ambito crime e cyber crime, il dott. Stefano Mele profondo conoscitore degli scenari e strategie internazionali legati alla cyber war, nonché rappresentanti delle forze armate, dagli ufficiali di collegamento presso i comandi internazionali NATO a Talin, dedicati proprio ad affrontare le problematiche cyber dei presenti e futuri conflitti, ai quadri responsabili degli assetti TLC, che consci delle problematiche nascenti stanno sviluppando in proprio soluzioni ed assetti con i quali affrontarle, come i reparti dell’Aeronautica Militare.

Non sono mancati gli interventi relativi a tematiche legali e normative, come quello del Dr. Giuseppe Corasaniti della Procura Generale presso la Corte di Cassazione.

D3Lab ha partecipato trattando con approccio pratico le tematiche della digital forensics sul campo di battaglia e della cyber war.

Il Cyber Defence Symposium organizzato dalla Scuola Telecomunicazioni delle Forze Armate è un evento importante, che è bene si continui a ripetere in futuro, rappresentando la presa di coscienza da parte della Difesa della problematica da tempo esistente legate alle minacce presenti in rete.

18 Maggio 2013/da Denis D3Lab

Phishing TIM

Non categorizzato

Dopo Vodafone e Wind anche Telecom Italia Mobile finisce nel mirino dei phisher, interessanti non agli account TIM, ma alle carte di credito degli utenti del gestore di telefonia mobile.

Il messaggio di posta fraudolento presenta le seguenti caratteristiche:

Oggetto: Telecom Italia Mobile offre!

Mittente apparente: Telecom Italia

Corpo del messaggio:

Gentile cliente,

Telecom Italia Mobile offre il 100% di bonus sul ricaricare il vostro
telefono cellulare in linea.

Ricaricare ora!

Il codice html con cui il messaggio è composto nasconde sotto le parole “Ricaricare ora!” il collegamento ipertestuale alla pagina web fraudolenta.

Sono arrivate molte copie del messaggio fraudolento evidenziano l’invio dello stesso da molti account diversi:

xxx@members.linode.com xxx@aerioattikis.gr xxx@smscrewmail.net xxx@hostkilmer.com xxx@rr.com

evidenziando in tutti i casi l’invio dal medesimo indirizzo ip francese 94.143.115.XXX

La pagina clone, in hosting su un server con indirizzo ip tedesco, richiede di scegliere il taglio della ricarica, il numero di telefonia

pagina web fraudolenta

mobile ed i dati della carta di credito, che vengono validati in base ai circuiti di appartenenza, Visa o Mastercard. Inseriti i dati e premuto il pulsante di conferma si giunge sulla seconda pagina nella quale viene chiesto il secure code.

pagina fraudolenta

la vittima viene quindi riportata alla home page del sito TIM reale.

Interessante notare che sulla home page del server usato dai criminali è stata inserita una finta pagina di SourceForge

che è possibile confrontare con la sottostante pagina reale del progetto mpg123 su SourceForge.

19 Aprile 2013/da Denis D3Lab

Rapporto D3Lab 2012

Non categorizzato

Il 20 Febbraio scorso D3Lab ha festeggiato il primo anno di completa operatività!

Si è trattato di un anno intenso che ha visto l’azienda crescere, trovare nuovi consensi e clienti, migliorare i propri servizi. L’impegnativa attività è stata condensata nelle 17 pagine del Rapporto D3Lab 2012, un documento in cui si analizza quanto fatto e rilevato nel 2012 e nel primo bimestre 2013, con particolare riguardo e dettaglio al phishing.

Il documento, pensato per società ed aziende interessate ai servizi proposti da D3Lab e per il law enforcement nazionale, non è disponibile in download ma ne deve essere fatta richiesta via mail aziendale scrivendo a info@d3lab.net.

Indice contenuti

Pagina 6

pagina 8

pagina 10

4 Aprile 2013/da Denis D3Lab

Corsi D3Lab

Non categorizzato

Per l’anno in corso D3Lab ripropone i corsi di introduzione all’Analisi del Malware ed alla Computer Forensics.
La docenza dei corsi è affidata rispettivamente a Gianni Amato, noto professionista del settore sicurezza italiano, divulgatore e sviluppatore, già curatore del corso svolto nel giugno 2012, e ad Antonio Deidda, Sovrintendente della Polizia Postale, con pluriennale esperienza di analisi digitale nell’ambito di indagini su reati tradizionali e tecnologici.

Il primo corso è rivolto a sistemisti, amministratori di rete, consulenti ICT, personale operante in strutture altamente sensibili, a tutti coloro che possono trovarsi a dover intervenire in qualità di incident response team a seguito di un infezione per tutelare l’azienda evitando la diffusione dell’agente malevolo, determinando come l’infezione è avvenuta e quali dati siano stati carpiti. Gianni Amato, forte della sue esperienza a guida del incident response team di una primaria azienda nazionale, illustrerà non solo la teoria alla base dei malware, ma anche l’approccio pratico con sui affrontare l’infezione, spiegando i retroscena del panorama criminale nel quale il malware prende sempre più piede.

Il secondo corso è invece rivolto a tutti coloro che possono trovarsi nella condizione di dover eseguire accertamenti su sistemi informatici. Antonio Deidda illustrerà ad amministratori di sistema, consulenti ICT, consulenti forensi, personale del law enforcement le corrette metodiche di acquisizione dei supporti di memoria, la modalità di ricerca delle evidence e la loro interpretazione, finalizzata alle specifiche esigenze dell’investigatore. Forte della sua esperienza porterà esempi reali, spiegando le problematiche e modalità per interfacciarsi correttamente con le diverse parti coinvolte dall’attività di indagine.

I corsi si terranno ad Ivrea:

Analisi del Malware si terrà dal 22 al 24 Maggio (3 gg), prezzo 790,00 Euro IVA inclusa, pre-iscrizioni entro il 13 Maggio 2013. Programma ed info;
Introduzione alla Computer Forensics dal 3 al 6 Giugno (4 gg), prezzo 990,00 Euro IVA inclusa, pre-iscrizioni entro il 25 Maggio 2013. Programma ed info;

2 Aprile 2013/da Denis D3Lab

Phishing McDonald’s

Non categorizzato

Il phishing è molto una questione di fantasia.

La dimostrazione la si può trarre da questo tentativo di frode a danno dei clienti neo zelandesi della catena di fast food Mc Donald’s, individuato analizzando il phishing internazionale.

Il destinatario del messaggio di posta seguendo il link proposto nella mail giunge ad una pagina web, posizionata su server rumeno.

L’inganno si basa sulla “promessa” di un premio di 90$ quale ringraziamento per la partecipazione ad un sondaggio relativo all’apprezzamento ed alla soddisfazione per il servizio offerto da Mc Donald’s.

Dopo aver risposto alle domande ed aver premuto il pulsante “Proceed” si viene portati sulla seconda pagina dove sono richiesti dati personali (indirizzo, numeri di telefono, numero della patente) ed i dati della carta di credito.

Questo semplice caso evidenzia come un criminale fantasioso possa preparare la propria frode contro utenti/clienti dei più svariati enti e servizi, è solo necessaria la fantasia per giustificare agli occhi del destinatario la richiesta dei dati sensibili di interesse.

Non sottovalutate la minaccia del phishing e la fantasia dei criminali.

28 Marzo 2013/da Denis D3Lab