Con l’approssimarsi delle vacanze era ipotizzabile il ritorno delle frodi inerenti la possibilità di risparmiare sugli acquisti di tutti i giorni e su quelli natalizi.

La nuova ondata di frodi volte a colpire i clienti della catena Carrefour viaggia sui dispositivi di telefonia mobile (cellulari, smartphone e tablet), attraverso sms provenienti dal numero di telefono 3270323258 (numero Wind) che con comunicazioni di questo tipo

“Carrefour: Vai sul sito www.carrefourspa.net e richiedi il buono omaggio di 300 euro FONDO MINISTERO SVILUPPO ECONOMICO“

forniscono al ricevente i link alle pagine fraudolente riproducenti la grafica già nota, aggiornata con l’inserimento di dell’elemento grafico del carrello con pacco regalo, da tempo presente nella prima pagina, anche nella seconda pagina.

(prima pagina fraudolenta)

(seconda pagina fraudolenta)

Nelle successiva pagine vengono richiesti i dati della carta di credito

e simulato il controllo del secure code Visa/Mastercard.

Sino ad ora sono stati individuati link a due siti/domini differenti

www.supercarrefour.com (attivo dal 5 Dicembre 2012)

www.carrefourspa.net

i quali contengono la sola home page costituita da un frame traente la sorgente rispettivamente da due diversi siti web, entrambi di recente creazione. Per tutti e due gli attacchi i criminali hanno utilizzato i medesimo fornitori di servizio

La metodica attuata per veicolare l’attacco è interessante perché pone i criminali in condizione di evadere, per ora, i tradizionali canali di monitoraggio per un certo lasso di tempo. Inoltre sarebbe interessante comprendere come i criminali abbiano composto le proprie liste di numeri di telefono a cui inviare i messaggi di testo fraudolenti. Se siano il risultato di ricerche svolte in rete o se possa trattarsi di dati “fuoriusciti” e correlati a reali utenti/clienti di servizi ed offerte Carrefour. In tale ipotesi i criminali starebbero portando attacchi ad elevato potenziale andando a colpire utenti reali dei servizi della società, già da tempo abituati a ricevere via sms informazioni ed offerte.

Update domenica 15 Dicembre 2013:

ulteriori accertamenti hanno portato all’individuazione di un terzo sito/dominio, www.carrefourbuono.org, attivo dal 7 Dicembre, anch’esso strutturato su un unica pagina con frame traente la sua sorgente da www.cadoubrochurpremium.com.

La sorgente del frame inserito in www.carrefourspa.net è invece stata modificata andando a puntare a www.impressioncat.com, questo sebbene le pagine clone posizionate in bussinesscountrymega.com, iniziale sorgente, siano ancora attive.

Ulteriori dettagli possono essere tratti dal post “Phishing Carrefour via SMS. Una interessante segnalazione da parte di un lettore del blog (13 dicembre)” e dai successivi su Edgar’s Internet Tools.

Ulteriori informazioni:

Continua il phishing Carrefour via SMS

Nessun dump da Carrefour SpA

Si è intensificata, in questo terzo quadrimestre, l’attività dei cyber-criminali a danno dei clienti delle Telco italiane, con l’individuazione di nuovi target, quali Telecom Italia ed i suoi servizi per le imprese, e con l’aggiornamento dei template delle pagine clone.

Già in un tentativo di phishing a danno degli utenti Vodafone dei giorni scorsi si era visto l’utilizzo di un nuovo template, adeguato a quello implementato sulle pagine legittime, con risultati dal punto di vista grafico abbastanza scadenti.

a distanza di quattro giorno viene portato un nuovo attacco, facendo uso del medesimo sito violato, in cui è stato inserito un nuovo template dalla grafica decisamente più accattivante e curata.

Il messaggio di posta elettronica fraudolento, partito da un indirizzo IP britannico, presenta le seguenti caratteristiche:

Mittente visualizzato: Vodafone <[email protected]>

Oggetto: Scegli il pacchetto adatto a te

Testo del messaggio (in base64):

————————————————————————————–

Gentile cliente,

Scegli il pacchetto adatto a te completamente gratis.

Ricarica online e i tuoi punti Vodafone one valgono il doppio.

Ricarica adesso

————————————————————————————–

Gli attacchi di phishing finalizzati a carpire i dati di accesso alle mail box rappresentano un’attività per nulla secondaria rispetto al phishig finanziario, colpindo tutti i principali servizi di posta quali Gmail, Yahoo, Hotmail, Aol, ecc….

In ambito italiano in passato si sono rilevati tentativi di frode agli utenti dei servizi di posta di Libero e Tiscali, senza poi scordarsi dei dati di accesso alle mail box richiesti all’interno del phishing finanziario, come avvenuto nell’ultimo tentativo di frode ai danni dei clienti di Banca Popolare di Milano.

Nella giornata odierna D3Lab ha rilevato un tentativo di phishing a danno degli utenti Telecom Italia, le cui credenziali di accesso

al servizio di posta sono richieste in pagine fraudolente riproducenti il logo Telecom posizionate nel dominio “isilis” registrato gratuitamente presso 000webhosting.com, quale dominio di terzo livello.

Il dominio è stato presumibilmente creato al fine di realizzare il tentativo di frode, la root directory risulta esplorabile ed evidenzia

la presenza di 4 file:

– itit.htm è la pagina fraudolenta per ingannare gli utenti Telecom ed invia le credenziali al file ok.php;

– tr.htm è invece una pagina simile alla precedente, riportante i loghi di 163.com e Yeah.net, provider cinesi, Yahoo, WindowsLive

e Gmail, realizzata per ingannare gli utenti di tali servizi, le cui credenziali vengono gestite dal file m.php che, incomprensibilmente riporta al sito della Union Bank of Africa.

L’avvento dei dispositivi mobili porterà alla fine del fenomeno phishing?

L’analisi di alcuni dati estratti da file di log relativi a siti web coinvolti in recenti casi di phishing ai danni degli utenti di un ente 

italiano forniscono alcune informazioni interessanti. I due casi in esame hanno permesso di raccogliere informazioni relativa a 218 differenti visitatori delle pagine di phishing. Ipotizzando che nessuno di loro abbia utilizzato estensioni del browser atte a modificare lo user agent trasmesso dal browser al server e che quindi i dati sia corretti, si evidenzia, come riportato nella tabella sottostante,

come il 24,7 % sia giunto sulle pagine fraudolente facendo uso di dispositivi mobili, il 61,9 % abbia fatto uso di sistemi operativi Microsoft Windows, il 41,5 % dei quali datati, ed il restante 38,1 di sistemi operativi di derivazione Unix, rientrando tra di essi i dispositivi mobili.

Per il futuro ci si può aspettare un aumento dei dispositivi mobili, in considerazione del fatto che anche gli smartphone di recente produzione hanno display sufficientemente ampi da consentire una fruizione abbastanza comoda dei contenuti web.

Sebbene i browser di cui tali dispositivi sono dotati implementino i meccanismi di sicurezza atti ad avvisare l’utente della visualizzazione delle pagine web fraudolente, non sempre queste sono segnalate tempestivamente ed esiste, quindi, un intervallo temporale nel quale il criminale può perpetrare il proprio atto criminoso, traendo vantaggio anche dalle ridotte dimensioni del display.
Queste potrebbero non permettere all’utente di riconoscere correttamente il dominio visitato, dettaglio essenziale a cui porre attenzione se pensiamo che i criminali, pur di riuscire nella frode, sono disposti a spendere per un certificato SSL da abbinare a domini creati ad-hoc.
Certificato la cui presenza è invece evidenziata chiaramente nella barra degli indirizzi, distogliendo l’attenzione della vittima dal reale dominio visitato e mal visualizzato nel display di ridotte dimensioni del dispositivo mobile.  

I dati relativi ai sistemi operativi utilizzati lasciano poi il fianco a diverse considerazioni: da una parte esiste la possibilità che i criminali implementino le pagine di phishing con exploit volti a colpire browser e sistemi datati per inocularvi malware, metodica al momento poco diffusa, dall’altra il crescente numero di utilizzatori di dispositivi mobili, rappresentanti già quasi un quarto del totale, potrebbe portare le organizzazioni criminali ad investire maggiormente per lo sviluppo di applicazioni per tali dispositivi, da distribuirsi attraverso pagine e mail di phishing, o fatte tanto bene da riuscire a superare i controlli degli apps store. 

Da tempo si è rilevato un forte orientamento dei criminali verso le carte di credito, strumento di più facile abuso a seguito della sempre più diffusa adozione di strumenti di autenticazione forte.

In tal senso si è mosso anche il gruppo criminale identificato da più lungo tempo che nella giornata odierna ha rivolto le proprie attenzioni ai clienti di UBI Banca nel tentativo di carpire loro i dati delle carte di credito con l’invio di una mail fraudolenta contenente avente le seguenti caratteristiche:

Mittente visualizzato: non rilevato

Oggetto: Proteggi il tuo accounto UBI Banca.

Testo della mail:

———————————————————————————

Gentile Cliente,

Abbiamo rilevato attivita irregolari sul tuo UBI Internet banking sul conto 18/10/2013.

Per la tua protezione,  necessario verificare questo attivita prima di poter continuare a utilizzare il conto.

Si prega di scaricare il documento allegato alla presente e-mail a rivedere le attivita del proprio account.

Rivedremo l’attivita sul tuo conto con voi e alla verifica, e ci consentira di eliminare le restrizioni imposte alle il tuo account.

Se scegliete di ignorare la nostra richiesta, ci lasciano scelta ma di sospendere temporaly tuo account.

Se scegli di ignorare la nostra richiesta, ci lasciano scelta di sospendere temporaneamente il tuo account.

Ti chiediamo di consentire almeno 72 ore per il caso di essere indagato e si consiglia di verificare il tuo conto in quel momento.

Con i migliori saluti,

Roberto Baggio
Responsabile della comunicazione del Cliente

?Gruppo UBI Banca 2011 – P. I. 03053920165

———————————————————————————

contenente un allegato html che aperto in locale mostra a browser la pagina riprodotta dall’immagine sottostante

ed invia le credenziali, attraverso il tag form, ad un file php posizionato in sito web greco.

Anche in questo caso siamo di fronte ad un gruppo criminale che è stato possibile “profilare” sin dal 2009, responsabile nel corso degli anni di attacchi a moltissime casse di risparmio e banche regionali e provinciali, nonché degli attacchi di quest’ultimo anno a Poste,  Visa, Carta Si, Deutsche Bank, ecc..

Update:

Alle ore 11.49 la pagina fraudolenta che gestiva il form non è più raggiungibile.

Update Sabato 19 Ottobre 2013:

nella tarda serata di ieri, Venerdì 18/10/2013, il file è stato nuovamente caricato dai criminali, i quali sin dal 2009 utilizzano quasi sempre la medesima vulnerabilità per eseguire l’upload dei file.