mail malevola

Il cybercrime tira in ballo Cedacri

Da diversi mesi si assiste ad ondate di messaggi di posta elettronica con i quali il cybercrime veicola le proprie infezioni nel tentativo di trasformare i sistemi degli utenti in zoombi asserviti ai signori delle botnet e di carpire i dati bancari/finanziari.

In questi giorni si sta assistendo ad un nuovo massiccio invio di e-mail

mail malevola

 

 

mail malevola

 

mail malevola

che facendo riferimento ad ordini e prestiti accesi o attivati del destinatario della mail lo spingono ad aprire l’archivio zip in essa likato ed a prendere visione del file pdf contenuto.
In realtà chi riceve il messaggio di posta elettronica non ha a che fare con un documento pdf, ma con un semplice eseguibile rinominato con doppia estensione.
Facendo riferimento alle immagini soprastanti, nel primo caso il file zip scaricato da un sito turco attraverso il link della mail contiene  

Ordine.Pdf______________________________________________________________.exe

La lunghezza totale del nome è di 76 caratteri.
L’archivio risulta essere stato creato l’8 Agosto scorso 

Path = Ordine.zip
Type = zip
Physical Size = 288537

   Date      Time    
——————- —– 
2012-08-08 15:50:33 
——————- —– 

ed il suo contenuto viene riconosciuto quale file malevolo da 31 antivirus su 42 di quelli usati da Virus Total (report).
Nel secondo caso il dominio (su BlueHost) in cui il malware era stato inoculato risulta momentaneamente sospeso, mentre nel terzo caso il file risulta essere già stato cancellato.
Dalle immagini soprastanti si rileva come gli indirizzi di posta dei mittenti palesino l’incoerenza del messaggio di posta, che tuttavia i cyber criminali cercano di rendere credibile citando in fondo al messaggio Cedacri, società da sempre impegnata nel fornire servizi agli istituti bancari.
“Monte Biz” non identifica invece alcun istituto bancario né finanziaria.
L’escamotage di citare una società quale Cedacri potrebbe risultare fatale per i cyber criminali, in quanto una società di rilievo sentendosi danneggiata dall’indesiderato coinvolgimento nell’attività delittuosa,  potrebbe mettere in campo mezzi, strutture e fondi per contrastare il fenomeno e supportare adeguatamente l’azione degli investigatori.
/da
mail di attacco

Attacco ad Android via mail

Nell’ultima settimana di Luglio vi sono state avvisaglie di un attacco agli utenti di Androind via mail.

mail di attacco

Apparentemente l’attacco sembra essere stato veicolato attraverso la mailbox @yahoo.it del mittente, a cui ignoti hanno avuto accesso da un indirizzo ip ungherese

 

estratto degli header

 

 

provvedendo all’invio della mail agli indirizzi collezionati tra i contatti.

Il link visualizzato con Chrome, simulando lo user agent di un dispositivo Android non portava al download di alcunché venendo rediretti ad altra pagina. Al contrario se si accedeva al link da un dispositivo Android si otteneva il download di un file apk. Il browser di default procedeva al semplice download, mentre Firefox per Android proponeva direttamente l’azione di installazione.

 L’immediata scansione con Avast Mobile ha evidenziato la natura della applicazioni scaricate

 confermata dall’analisi on-line con VirusTotal:

Appare evidente che la frontiera dei dispositivi mobili rappresenterà la nuova sfida di phisher e distributori di malware.

/da
Pagine fraudolente Telepass

Utenti telepass frodati

Nella giornata di ieri si è verificato un nuovo tentativo di frode nei confronti degli utenti del servizio Telepass.
Cybercriminali hanno spedito email fraudolente apparentemente inviate dall’ente in questione nella quali si paventava il blocco del servizio.
Il link proposto nel messaggio di posta elettronica indirizzava gli utenti a pagine fraudolente posizionato nel spazio di hosting del dominio telepass.lt.

Pagine fraudolente Telepass

I criminali hanno quindi usato il suffisso di dominio lituano LT nella convinzione, sfortunatamente corretta, che molti utenti non si accorgessero dell’inganno. 

 

L’attività di intelligence svolta da D3Lab ha consentito di individuare parte delle credenziali cedute dagli utenti ingannati. In esso sono stati individuati 112 differenti indirizzi di posta elettronica con relative password di accesso alle mail box, nonché 51 numeri di carte di credito validi secondo l’algoritmo di Luhn.

L’elenco degli indirizzi email dei possibili utenti frodati è stato inviato a Telepass SpA ed ad Autostrade per l’Italia SpA (a cui Telepass fa capo) al fine di consentire loro di avvisare gli utenti frodati.
Si pone tuttavia un problema: come contattare gli utenti in un momento in cui c’è una gran diffidenza verso contatti dai toni allramanti spesso usati per queste frodi?

 

/da

Corsi effettuati

Corsi proposti da D3Lab e già tenuti:

  • Malware analisys.
    Docente: Gianni Amato;
    Svolto: da mercoledì 6 Giugno a venerdì 8 Giugno 2012;
    Note sullo svolgimento

  • Analisi siti web compromessi (presso cliente). 
    Docente: Mario Pascucci;
    Svolto: da lunedì 4 Febbraio a mercoledì 6 Febbraio 2013;
    Note sullo svolgimento
/da
Mail Fraudolenta Gioco Digitale

Cybercrime all’attacco di GiocoDigitale

Il cyber crime va all’attacco dei giochi digitali con l’intento di “svuotare” il conto dei giocatori.

In data odierna si è individuato una mail fraudolenta mirante a colpire gli utenti di Gioco Digitale. Palesando il blocco dell’account la mail invita a scaricare l’allegato per ripristinare le funzionalità del conto collegato all’account.

Mail Fraudolenta Gioco Digitale

La mail veicola l’attacco sia attraverso il classico link ipertestuale, sia attraverso il menzionato allegato. Questo è costituito da un file html che aperto in locale presenta la medesima pagina riproposta seguendo il collegamento ipertestuale.

Allagato html

Sia la pagina locale, che quella remota, mirano esclusivamente a carpire i dati di accesso all’account del giocatore al presumibile fine di movimentare le somme depositate sul “conto gioco” verso conti posseduti dai cyber criminali sui circuiti consentiti da Gioco Digitale:

  • Carta di Credito Visa;
  • PostePay Skrill (Moneybookers);
  • Kalixa;
  • Bonifico Bancario.

Le pagine fraudolente sono in hosting presso il provider ceco webzdarma.cz.

/da
Phishing Telepass.it

Phishing Telepass.it

Con l’intento di acquisire fraudolentemente codici di carte di credito il cyber crime rivolge la propria attenzione non solo verso gli istituti bancari e quegli enti che emettono proprie carte di credito, ma anche verso tutti quei servizi che prevedono pagamenti con esse.

In data odierna è stato rilevato in rete un attacco di phishing volto a colpire gli utenti del servizio Telepass.

Il messaggio di posta fraudolento, paventando la possibile sospensione del servizio Telepass, causa il mancato pagamento di una fattura, invita gli utenti a visitare pagine web posizionate nel dominio webtelepass.it

 

Domain:             webtelepass.it Status:             ok Created:            2012-06-02 05:16:44 Last Update:        2012-06-02 05:40:25 Expire Date:        2013-06-02

 

forgiato ad hoc con l’intento di trarre in inganno i visitatori.

Phishing Telepass.it

Le pagine fraudolente richiedono ai visitatori, oltre ai dati della carta di credito, anche le credenziali di accesso alla mail box.

phishing Telepass.it

 

 

 

/da

Phishing: primo quadrimestre 2012

Le attività di monitoraggio dei tentativi di phishing svolta nel primo quadrimestre del 2012, durante lo start-up aziendale, hanno consentito di individuare 351 distinti url di attacco volti a colpire i clienti di ventuno diversi istituti bancari/enti.
Questi 351 url individuavano risorse posizionate su 273 diversi domini/indirizzi ip, ma frequentemente hanno visto il coinvolgimento di ulteriori soggetti che non venivano individuati dall’immediata analisi del messaggio di posta elettronica fraudolento. La sopravvivenza delle pagine facenti parte della struttura imbastita dai criminali hanno avuto un tempo di sopravvivenza ampiamente superiore al giorno. 

Il monitoraggio costante indica l’interesse dei criminali a colpire gli utenti di Internet prevalentemente durante la settimana lavorativa, con un esigua ricezione di mail di phishing durante il week-end. Con tale presupposto vi sono stati istituti contro i cui clienti i phisher hanno inviato mail fraudolente praticamente tutti i giorni.

Gli attacchi registrati vedono principalmente l’utilizzo di quattro differenti metodiche:

  1. collegamento diretto alle pagine fraudolente;
  2. collegamento a pagine web aventi la funzione di redirect;
  3. manipolazione di sotto domini;
  4. allegati htm/html/mht contenenti il modulo da compilarsi;

L’attacco portato con form in allegato al messaggio di posta elettronica sta via via prendendo maggiormente piede, consentendo di ovviare alle funzionalità di sicurezza dei moderni browser finalizzate ad allertare l’utente che richiede pagine web segnalate quali malevole.

Rimane per ora residuale l’utilizzo di short-url e di servizi di dns dinamico, sebbene tali medotiche, quando usate, non di rado vengano implementate dai criminali con le precedenti.

 

/da