Cyber Defence Symposium

D3Lab ha avuto il piacere di essere chiamata a partecipare all’edizione 2013 del Cyber Defence Symposium organizzato dalla Scuola Telecomunicazioni delle Forze Armate.

L’evento svoltosi nella splendida cornice di Sestri Levante nelle giornate del 16 e 17 Maggio ha visto la partecipazione di numerosi ospiti, con interventi volti a proporre soluzioni commerciali ed interventi divulgativi/formativi di altissimo livello, con relatori di grande professionalità e competenza quali Giuseppe Dezzani, Paolo Dal Checco e Mattia Epifani per la digital forensics, la dottoressa Francesca Bosco, ricercatrice dell’UNICRI in ambito crime e cyber crime, il dott. Stefano Mele profondo conoscitore degli scenari e strategie internazionali legati alla cyber war, nonché rappresentanti delle forze armate, dagli ufficiali di collegamento presso i comandi internazionali NATO a Talin, dedicati proprio ad affrontare le problematiche cyber dei presenti e futuri conflitti, ai quadri responsabili degli assetti TLC, che consci delle problematiche nascenti stanno sviluppando in proprio soluzioni ed assetti con i quali affrontarle, come i reparti dell’Aeronautica Militare.

Non sono mancati gli interventi relativi a tematiche legali e normative, come quello del Dr. Giuseppe Corasaniti della Procura Generale presso la Corte di Cassazione.

D3Lab ha partecipato trattando con approccio pratico le tematiche della digital forensics sul campo di battaglia e della cyber war.

 

Il Cyber Defence Symposium organizzato dalla Scuola Telecomunicazioni delle Forze Armate è un evento importante, che è bene si continui a ripetere in futuro, rappresentando la presa di coscienza da parte della Difesa della problematica da tempo esistente legate alle minacce presenti in rete.

Cyber Defence Symposium

mail fraudolenta

Dopo Vodafone e Wind anche Telecom Italia Mobile finisce nel mirino dei phisher, interessanti non agli account TIM, ma alle carte di credito degli utenti del gestore di telefonia mobile.

 

mail fraudolenta

 

Il messaggio di posta fraudolento presenta le seguenti caratteristiche:

Oggetto: Telecom Italia Mobile offre!

Mittente apparente: Telecom Italia

Corpo del messaggio:

Gentile cliente,

Telecom Italia Mobile offre il 100% di bonus sul ricaricare il vostro
telefono cellulare in linea.

Ricaricare ora!

© Telecom Italia 2013 – P.IVA 00488410010.

Il codice html con cui il messaggio è composto nasconde sotto le parole “Ricaricare ora!” il collegamento ipertestuale alla pagina web fraudolenta.

Sono arrivate molte copie del messaggio fraudolento evidenziano l’invio dello stesso da molti account diversi:

[email protected] [email protected] [email protected] [email protected] [email protected]

evidenziando in tutti i casi l’invio dal medesimo indirizzo ip francese 94.143.115.XXX

La pagina clone, in hosting su un server con indirizzo ip tedesco, richiede di scegliere il taglio della ricarica, il numero di telefonia

 

pagina web fraudolenta 

 

mobile ed i dati della carta di credito, che vengono validati in base ai circuiti di appartenenza, Visa o Mastercard. Inseriti i dati e premuto il pulsante di conferma si giunge sulla seconda pagina nella quale viene chiesto il secure code.

 

pagina fraudolenta

 

la vittima viene quindi riportata alla home page del sito TIM reale.

Interessante notare che sulla home page del server usato dai criminali è stata inserita una finta pagina di SourceForge

 

finta pagina sourceforge

 

che è possibile confrontare con la sottostante pagina reale del progetto mpg123 su SourceForge.

 

Pagina reale SourceForge

 

cover

Il 20 Febbraio scorso D3Lab ha festeggiato il primo anno di completa operatività!

Si è trattato di un anno intenso che ha visto l’azienda crescere, trovare nuovi consensi e clienti, migliorare i propri servizi. L’impegnativa attività è stata condensata nelle 17 pagine del Rapporto D3Lab 2012, un documento in cui si analizza quanto fatto e rilevato nel 2012 e nel primo bimestre 2013, con particolare riguardo e dettaglio al phishing.

 

cover

Il documento, pensato per società ed aziende interessate ai servizi proposti da D3Lab e per il law enforcement nazionale, non è disponibile in download ma ne deve essere fatta richiesta via mail aziendale scrivendo a [email protected].

 

Indice contenuti

indice

 

Pagina 6

pagina 6

 

pagina 8

pagina 8

 

pagina 10

pagina 10

Per l’anno in corso D3Lab ripropone i corsi di introduzione all’Analisi del Malware ed alla Computer Forensics.
La docenza dei corsi è affidata rispettivamente a Gianni Amato, noto professionista del settore sicurezza italiano, divulgatore e sviluppatore, già curatore del corso svolto nel giugno 2012, e ad Antonio Deidda, Sovrintendente della Polizia Postale, con pluriennale esperienza di analisi digitale nell’ambito di indagini su reati tradizionali e tecnologici.

Il primo corso è rivolto a sistemisti, amministratori di rete, consulenti ICT, personale operante in strutture altamente sensibili, a tutti coloro che possono trovarsi a dover intervenire in qualità di incident response team a seguito di un infezione per tutelare l’azienda evitando la diffusione dell’agente malevolo, determinando come l’infezione è avvenuta e quali dati siano stati carpiti. Gianni Amato, forte della sue esperienza a guida del incident response team di una primaria azienda nazionale, illustrerà non solo la teoria alla base dei malware, ma anche l’approccio pratico con sui affrontare l’infezione, spiegando i retroscena del panorama criminale nel quale il malware prende sempre più piede.

Il secondo corso è invece rivolto a tutti coloro che possono trovarsi nella condizione di dover eseguire accertamenti su sistemi informatici. Antonio Deidda illustrerà ad amministratori di sistema, consulenti ICT, consulenti forensi, personale del law enforcement le corrette metodiche di acquisizione dei supporti di memoria, la modalità di ricerca delle evidence e la loro interpretazione, finalizzata alle specifiche esigenze dell’investigatore. Forte della sua esperienza porterà esempi reali, spiegando le problematiche e modalità per interfacciarsi correttamente con le diverse parti coinvolte dall’attività di indagine. 

I corsi si terranno ad Ivrea:

  • Analisi del Malware si terrà dal 22 al 24 Maggio (3 gg), prezzo 790,00 Euro IVA inclusa, pre-iscrizioni entro il 13 Maggio 2013. Programma ed info;
  • Introduzione alla Computer Forensics dal 3 al 6 Giugno (4 gg), prezzo 990,00 Euro IVA inclusa, pre-iscrizioni entro il 25 Maggio 2013. Programma ed info;
fraud page - pagina fraudolenta

Il phishing è molto una questione di fantasia.

La dimostrazione la si può trarre da questo tentativo di frode a danno dei clienti neo zelandesi della catena di fast food Mc Donald’s, individuato analizzando il phishing internazionale.

Il destinatario del messaggio di posta seguendo il link proposto nella mail giunge ad una pagina web, posizionata su server rumeno.

 

fraud page - pagina fraudolenta

 

L’inganno si basa sulla “promessa” di un premio di 90$ quale ringraziamento per la partecipazione ad un sondaggio relativo all’apprezzamento ed alla soddisfazione per il servizio offerto da Mc Donald’s.

Dopo aver risposto alle domande ed aver premuto il pulsante “Proceed” si viene portati sulla seconda pagina dove sono richiesti dati personali (indirizzo, numeri di telefono, numero della patente) ed i dati della carta di credito.

 

fraud page - pagina fraudolenta

 

Questo semplice caso evidenzia come un criminale fantasioso possa preparare la propria frode contro utenti/clienti dei più svariati enti e servizi, è solo necessaria la fantasia per giustificare agli occhi del destinatario la richiesta dei dati sensibili di interesse.

Non sottovalutate la minaccia del phishing e la fantasia dei criminali.

screenshot file incluso

Nella giornata di ieri sul sito Edgar’s Internet Tools è apparso un nuovo report relativo alla compromissione di siti web italiani attraverso l’inclusione di pagine html.

screenshot file incluso

Indicazione dell’incidente era stata tratta dal ricercatore attraverso la consultazione di specifici data base pubblici. L’esecuzione di ulteriori rilievi relativi agli host ed ai domini coinvolti evidenziava anche il coinvolgimento nell’incidente del sito web di un istituto bancario.

 

inclusione file in sito banca

 

I semplici rilievi esterni svolti, attraverso la raccolta delle informazioni pubbliche presenti on line, dal ricercatore e ripresi da D3Lab non consentivano di determinare attraverso quale via l’intrusione fosse avvenuta, se potesse essere dovuta ad una vulnerabilità presente nel sito dell’ente o in uno degli altri siti web in hosting sul medesimo server ed anch’essi coinvolti nell’incidente, né se l’aggressore potesse aver avuto accesso a dati sensibili e riservati.

A tali quesiti si potrà dare conferma solo con una attenta analisi forense estesa a tutti i domini coinvolti.

Quanto accaduto permette di prospettare, tuttavia, uno scenario abbastanza spiacevoli:

nell’ipotesi che l’attacco fosse stato mirato, l’aggressore avrebbe potuto inserire nello stesso una propria pagina contenente un finto box di login, del tutto simile alla pagina di login  effettivamente presente all’interno del sito violato.

dettagli del box di login legittimo

 

L’immagine soprastante mostra alcuni dettagli del box di login per l’accesso agli account di home banking.
Il file html presentante il box di login contiene un iframe il cui sorgente (il codice del form) è in realtà su un altro host relativo al dominio della società da cui il servizio di internet banking è gestito. I dati sono trasmessi in forma cifrata attraverso SSL.
Questa tendenza (non nuova) degli istituti bancari di presentare il box di login inserito in iframe non consente all’utente di rilevare facilmente, a colpo d’occhio, la presenza di un “collegamento sicuro”, caratteristica che viene spesso indicata dagli istituti bancari stessi e da chi fa informazione e divulgazione quale segno da ricercasi per sincerarsi di non essere in pagine fraudolente.

L’utente così abituatosi ad effettuare il login al proprio account di home banking da pagine web non indicanti chiaramente l’utilizzo di protocolli sicuri avrebbe potuto riconoscere un falso box di login inserito da un attaccante all’interno del sito della banca? O tranquillizzato dal fatto di trovarsi all’interno di un dominio a lui noto avrebbe inserito con tranquillità i propri dati?

Occorrerebbe fare ancora due valutazioni sull’opportunità di mettere il sito web di un istituto bancario in hosting condiviso e sull’eventuale utilità che vulnerability assessment o penetration test avrebbero potuto avere se svolti con regolarità, ma siamo certi che chi legge possa fare da se le proprie valutazioni.

Poteva essere un phishing perfetto … fortunatamente era solo un defacer ed i cyber criminali non sono solo dediti al phishing!

L’istituto bancario è stato notiziato di quanto rilevato.

 

mail fraudolenta

Non sempre la struttura realizzata dai cyber-criminali funziona al primo tentativo.

Nella primissime ore della mattina è stato rilevato un tentativo di frode ai danni dei clienti CheBanca. Il messaggio di posta fraudolento, attraverso cui è stato veicolato l’attacco, presenta le seguenti caratteristiche:

Oggetto: Hai un nuovo messaggio

Mittente apparente: From: “CheBanca servizi” <[email protected]>

Corpo del messaggio:

 

Gentile Cliente,
************************************************************

Per utilizzare i servizi online e in caso di mancato accesso o non funzionamento dei servizi necessario:

  • verificare il corretto inserimento del nome utente e della password.
  • effettuare l’aggiornamento dei dati del module di accesso.

************************************************************

Accedi per effettuare l’aggiornamento dei dati :

Link: http://www.chebanca.it/servizi&online/accedi.php

© 2008 – 2013 CheBanca! S.p.A. – Gruppo Bancario Mediobanca | P.IVA 10359360152

 

mail fraudolenta

 

Il link ipertestuale nascondeva l’url a file inseriti all’interno di un sito in hosting su server statunitense.
La pagine di phishing non erano tuttavia visualizzabili, presumibilmente per impostazioni dei permessi non corrette.

 

confronto contenuto directory

 

Poco dopo la directory ospitante le pagine fraudolente era stata rimossa, i file rimasti lasciano ipotizzare che l’azione di pulizia sia stata effettuata direttamente dal phisher che, accortosi del malfunzionamento della struttura allestita, si preparava a ricollocarla altrove.

Il messaggio di posta fraudolento risulta essere stato inviato, poco prima delle 5 ora italiana, da indirizzo ip tedesco attraverso server di posta mongoli, malesi e giapponesi. 

 

pagina web fraudolenta

E sicuramente singolare l’attacco di phishing rilevato il giorno 6 Marzo 2013 ai danni del Comune di Torino.
Le informazioni in possesso di D3Lab sono purtroppo molto scarne. Lo screenshot generato dai sistemi automatici ha consentito di congelare unicamente la resa grafica ed il testo della pagina fraudolenta. Un messaggio scritto in italiano sgrammaticato, paventando problematiche relativa a problemi causati da un virus alla banca dati dell’ente, richiedeva l’inserimento delle credenziali di accesso alla web mail del in uso al personale del Comune.

pagina web fraudolenta

 

Nell’ipotesi si trattasse di un phishing mirato, testa di ponte ad un possibile attacco informatico al comune, ci si aspetterebbe quanto meno un messaggio di posta ed una pagina web scritta in ottimo italiano. Proprio la sua assenza lascerebbe ipotizzare l’estraneità di movimenti/organizzazioni nazionali. 

La pagina web fraudolenta era in hosting in un server statunitense.

Appare doveroso domandarsi se vi sia qualche collegamento con un altra pagina di phishing realizzata attraverso Google Docs, individuata il 19 Febbraio 2013, sempre facente riferimento a Torino, graficamente più curata, per quanto dall’aspetto insolito.

pagina web fraudolenta

 

Anche in questo caso non è, sfortunatamente, stato possibile acquisire maggiori informazioni.

Update 08/03/2013 10:59

Alcune considerazioni relative all’attacco in questione.

mail fraudolenta

I giornalieri controlli sul phishing nazionale ed internazionale hanno permesso di individuare un tentativo di frode ai danni degli albergatori clienti del servizio di prenotazione on-line Venere.com.

La mail di phishing odierna presenta le seguenti caratteristiche:

oggetto: L’account del servizio deve essere aggiornato .

mittente apparente: “Assistenza Utenti Venere.com”<[email protected]>;

corpo messaggio:

GENTILE CLIENTE, Venere Net S.r.l. L’account del servizio Venere Net S.r.l.deve essere aggiornato **Scarica allegato** Accedi al tuo conto e verifica le modifiche . Importante per la sua sicurezza Se apri con internet explorer accetta i cookie!!! Venere Net S.r.l. Via della Camilluccia, 693 – 00135 Roma-Italia (con socio unico) soggetta a direzione e coordinamento di Hotels.com LP – Iscritta al R.d.I. di Roma ( Italia) – P.I. e C.F. 05649781001 Licenza Agenzia Viaggi No.305 del 05 Aprile 2001 (Cyber Travel) – Capitale sociale: Euro 1.120.600,00 (i.v.)

mail fraudolenta

 

L’allegato aggiornamento.html, evidenziato nell’immagine soprastante, si presenta come un clone della pagina di login attraverso la quale gli albergatori sottoscrittori del servizio di Venere/Expedia accedono al proprio account.

 

falsa pagina web

 

D3Lab non è a conoscenza delle modalità di funzionamento del servizio di Venere/Expidia, tuttavia conoscendo le modalità operative dei criminali appare ipotizzabile che questi, una volta effettuato l’illecito accesso all’account di cui carpiscono le credenziali, possano individuare tra le informazioni dell’utente frodato i dati della carta di credito su cui il servizio gli accredita la percentuale ad egli dovuta per le prenotazioni ricevute on-line da Venere.com.

Le credenziali inserite dalla vittima vengono spedite ad una pagina php in hosting in un dominio gratuito creato sul provider ceco wz.cz, già usato in passato in attività di pshihing, e l’utente viene indirizzato alle pagine del sito legittimno della società.

Dal punto di vista investigativo è interessante notare, dagli headers del messaggio di posta, che lo stesso è stato inviato da un indirizzo ip di Fastweb.

Venere.com è stata notiziata.

Ulteriori informazioni su Edgar’s Internet Tools.

data/ora creazione/ultima modifica file fraudolenti

Troppo spesso chi subisce l’azione dei cyber criminali, nella convinzione che questi abbiano ineguagliabili capacità tali da consentir loro di muoversi invisibili nella rete, tende a ritenere inutile l’azione investigativa/repressiva che potrebbe seguire una eventuale denuncia.

In realtà così non è, ma spesso la possibilità di individuare il passo falso, la traccia lasciata dal delinquente, va “inseguita” con un monitoraggio continuo dell’attività criminale.

Nei giorni scorsi D3Lab ha rilevato alcuni tentativi di frode ai danni degli utenti di Deutsche Bank attuati da uno dei più attivi gruppi criminali operanti in Italia.

L’analisi della struttura di rete messa in piedi dai phisher ha consentito di determinare data/ora di creazione/ultima modifica

 

data/ora creazione/ultima modifica file fraudolenti

della pagina fraudolenta e di visionare i log http del server che ospitava la pagina in questione.

Il confronto dei dati ha consentito di determinare che il criminale aveva operato da un indirizzo ip romeno verificando l’accessibilità della

estratto log http

pagina, accedendovi direttamente e da una mail box di Libero, presumibilmente testando le funzionalità di un messaggio di prova vettore dell’attacco.

Pur essendo una dato di fatto che le attività siano probabilmente state svolte oltre i confini nazionali, rimane la possibilità che attraverso la mail box di Libero il phisher abbia fatto transitare comunicazione verso altri soggetti dell’organizzazione, identificabili attraverso l’idonea attività investigativa.