In questo momento di crisi economica le famiglie sono sempre più attente alle offerte nel tentativo di risparmiare anche sulle spese di tutti i giorni. I criminali ne sono consci e, come si è rilevato in passato con le false offerte Tim, Vodafone, Wind e Agip, con molta fantasia e facilità propongono false offerte miranti a catturare i dati delle carte di credito degli utenti più ingenui.

Nella giornata di ieri, domenica 7 Giugno 2013, è stato rilevato un tentativo di frode ad opera dei medesimi autori delle recenti frodi Agip/Eni, facente uso di marchi e loghi Carrefour.

 

Il messaggio di posta elettronica fraudolento, partito da un server britannico,  presenta le seguenti caratteristiche:

Mittente visualizzato:  “Leggi come ottenere 500 Euro da Carrefour” <[email protected]>

Oggetto: Carrefour ti restituisce 500 euro di Buono Spesa

Testo del messaggio:

————————————————————————————————————————————————–

Con il DECRETO-LEGGE 8 aprile 2013, n. 35 in cui il Consiglio dei Ministri anticipa i pagamenti alle P.A. e aiuti per le famiglie, Carrefour Spa ti consente di acquistare la carta Prepagata SpesAmica del valore di 500 Euro al prezzo di 100 Euro (80% rimborsato dal Ministero dello Sviluppo Economico). segui le indicazioni su : Carrefour Italia Spa   _________________________________________________________________________ con sede legale in Milano, via Caldera 21, capitale sociale Euro 12.000.000,00 i.v., codice fiscale, partita IVA e numero di iscrizione del Registro Imprese di Milano 08652300156

————————————————————————————————————————————————–

Il link proposto porta i visitatori a visualizzare la pagina all’url hxxp://carrefour.cable-modem.org, spazio web di un dominio registrato

prosso No-IP.com. Il sorgente evidenzia come in realtà il codice delle pagine sia visualizzato attraverso un frame, il cui reale sorgente

è all’indirizzo evidenziato in rosso nell’immagine soprastante. Il dominio 1nove1.net risulta essere stato registrato il 4 Luglio scorso.

Cliccando sul pulsante “Registrati” al fine di accedere all’offerta, si visualizzano pagine la cui struttura abbiamo imparato a conoscere esaminando i tentativi di frode più recenti a danno della compagnie di telefonia mobile e di Agip/Eni, in cui vengono chiesti dati anagrafici e delle carte di credito

 

Le pagine web successive, aventi funzioni di verifica, contengono phishing “nidificati” con richieste di ulteriori dati relativi agli account od ai gestori delle carte i cui dati sono stati inseriti.

 

E’ interessante notare, come ben evidenziato nell’analisi pubblicata su Edgar’s Internet Toos, i molti fattori che accomunano questo attacco con quelli alle compagnie telefoniche e ad Agip/Eni: layout pagine, link relativi, css, domini, ecc… Addirittura il criminale non si è nemmeno preso la briga di ricreare i path interni delle directory, mantenendo, come evidenziato nell’immagine sottostante, quelli relativi ai siti clone usati per le frodi con loghi e marchi Agip/Eni.

 

 

La comunanza di fattori tra i diversi attacchi, così stretta da potersi definire quale modus operandi e firma, permette di correlare molteplici tentativi di frode ad un unico soggetto criminale, presumibilmente non costituito da un singolo individuo. A fronte di una organizzazione a delinquere tanto attiva e spudorata siamo certi le forze dell’ordine sapranno mettere in campo le idonee strutture e risorse. D3Lab rinnova la propria disponibilità a dare ausilio all’attività investigativa.

 

Eurobet è un sito di scommesse on-line, con dominio .it registrato dalla Eurobet UK Limited sin dal 2000.

L’utente del sito crea presso lo stesso un proprio conto/portafoglio sul quale caricare il credito per effettuare le scommesse e successivamente riscuoterlo. I criminali, che attraverso una mail in cui segnalano problemi di sicurezza relativi all’account mirano a

 

carpire le credenziali di accesso all’account, potrebbero abusare dell’account “conquistato” per svuotare il conto virtuale dal credito accumulato dal legittimo giocatore, o per scommettere con soldi di provenienza illecita, ricaricando il conto da carte di credito i cui dati sono stati carpiti con altri attacchi di phishing.

 

 

La falsa pagina web è finalizzata alla sola cattura di username e password dell’account. Una volta inseriti i dati e premuto il pulsante di invio si approda su una seconda pagina che conferma il corretto svolgimento dell’operazione di verifica. Ogni link presente in quest’ultima pagina conduce al vero sito di scommesse.

 

Dopo Vodafone e Wind anche Telecom Italia Mobile finisce nel mirino dei phisher, interessanti non agli account TIM, ma alle carte di credito degli utenti del gestore di telefonia mobile.

 

 

Il messaggio di posta fraudolento presenta le seguenti caratteristiche:

Oggetto: Telecom Italia Mobile offre!

Mittente apparente: Telecom Italia

Corpo del messaggio:

Gentile cliente,

Telecom Italia Mobile offre il 100% di bonus sul ricaricare il vostro
telefono cellulare in linea.

Ricaricare ora!

© Telecom Italia 2013 – P.IVA 00488410010.

Il codice html con cui il messaggio è composto nasconde sotto le parole “Ricaricare ora!” il collegamento ipertestuale alla pagina web fraudolenta.

Sono arrivate molte copie del messaggio fraudolento evidenziano l’invio dello stesso da molti account diversi:

[email protected] [email protected] [email protected] [email protected] [email protected]

evidenziando in tutti i casi l’invio dal medesimo indirizzo ip francese 94.143.115.XXX

La pagina clone, in hosting su un server con indirizzo ip tedesco, richiede di scegliere il taglio della ricarica, il numero di telefonia

 

 

 

mobile ed i dati della carta di credito, che vengono validati in base ai circuiti di appartenenza, Visa o Mastercard. Inseriti i dati e premuto il pulsante di conferma si giunge sulla seconda pagina nella quale viene chiesto il secure code.

 

 

la vittima viene quindi riportata alla home page del sito TIM reale.

Interessante notare che sulla home page del server usato dai criminali è stata inserita una finta pagina di SourceForge

 

 

che è possibile confrontare con la sottostante pagina reale del progetto mpg123 su SourceForge.

 

 

Nella giornata di ieri sul sito Edgar’s Internet Tools è apparso un nuovo report relativo alla compromissione di siti web italiani attraverso l’inclusione di pagine html.

Indicazione dell’incidente era stata tratta dal ricercatore attraverso la consultazione di specifici data base pubblici. L’esecuzione di ulteriori rilievi relativi agli host ed ai domini coinvolti evidenziava anche il coinvolgimento nell’incidente del sito web di un istituto bancario.

 

 

I semplici rilievi esterni svolti, attraverso la raccolta delle informazioni pubbliche presenti on line, dal ricercatore e ripresi da D3Lab non consentivano di determinare attraverso quale via l’intrusione fosse avvenuta, se potesse essere dovuta ad una vulnerabilità presente nel sito dell’ente o in uno degli altri siti web in hosting sul medesimo server ed anch’essi coinvolti nell’incidente, né se l’aggressore potesse aver avuto accesso a dati sensibili e riservati.

A tali quesiti si potrà dare conferma solo con una attenta analisi forense estesa a tutti i domini coinvolti.

Quanto accaduto permette di prospettare, tuttavia, uno scenario abbastanza spiacevoli:

nell’ipotesi che l’attacco fosse stato mirato, l’aggressore avrebbe potuto inserire nello stesso una propria pagina contenente un finto box di login, del tutto simile alla pagina di login  effettivamente presente all’interno del sito violato.

 

L’immagine soprastante mostra alcuni dettagli del box di login per l’accesso agli account di home banking.
Il file html presentante il box di login contiene un iframe il cui sorgente (il codice del form) è in realtà su un altro host relativo al dominio della società da cui il servizio di internet banking è gestito. I dati sono trasmessi in forma cifrata attraverso SSL.
Questa tendenza (non nuova) degli istituti bancari di presentare il box di login inserito in iframe non consente all’utente di rilevare facilmente, a colpo d’occhio, la presenza di un “collegamento sicuro”, caratteristica che viene spesso indicata dagli istituti bancari stessi e da chi fa informazione e divulgazione quale segno da ricercasi per sincerarsi di non essere in pagine fraudolente.

L’utente così abituatosi ad effettuare il login al proprio account di home banking da pagine web non indicanti chiaramente l’utilizzo di protocolli sicuri avrebbe potuto riconoscere un falso box di login inserito da un attaccante all’interno del sito della banca? O tranquillizzato dal fatto di trovarsi all’interno di un dominio a lui noto avrebbe inserito con tranquillità i propri dati?

Occorrerebbe fare ancora due valutazioni sull’opportunità di mettere il sito web di un istituto bancario in hosting condiviso e sull’eventuale utilità che vulnerability assessment o penetration test avrebbero potuto avere se svolti con regolarità, ma siamo certi che chi legge possa fare da se le proprie valutazioni.

Poteva essere un phishing perfetto … fortunatamente era solo un defacer ed i cyber criminali non sono solo dediti al phishing!

L’istituto bancario è stato notiziato di quanto rilevato.