Durante la notte abbiamo svolto alcune ricerche in rete in relazione all’attacco di phishing a danno di Total Erg rilevato nella serata di ieri 27 Novembre 2014, da cui è emersa l’esistenza di casi precedenti verificatisi già a fine ottobre.

Fabio Natalucci descrive in un articolo estremamente ben fatto, “Analisi di un caso di Phishing: SMS TotalErg acquisto buoni carburante“, un caso verificatosi nella seconda metà di ottobre, periodo al quale risale anche il comunicato stampa TotalErg “TotalErg nel mirino delle truffe online“.

Sembrerebbe tuttavia che la campagna di phishing sia in realtà stata avviata ben prima, come suggerirebbero indicare le date rilevate nei tag aggiunti dal programma di copia usato per clonare il sito TotalErg.

D3Lab opera prevalentemente in ambito phishing, inserita da tempo in un network di professionisti della sicurezza informatica e dell’analisi forense, diversi dei quali collaborano come segnalatori riportando i casi rilevati con tempestività. Nonostante ciò la campagna di attacco, attiva ormai da molte settimane è stata rilevata solo ieri sera. L’utilizzo degli SMS quali veicolo dell’attacco permette ai criminali di far passare l’aggressione molto sotto traccia.

Al momento l’articolo da più parti linkato rimane quello di Natalucci. Questo evidenzia come gli attacchi sarebbero totalmente passati sotto silenzio se uno di questi casi non fosse stato riportato ad un esperto della sicurezza ICT, che rilevandone la peculiarità e pericolosità lo ha analizzato e descritto.

TotalErg, da parte sua, ha evidenziato alla clientela l’esistenza della minaccia, cogliendo il doppio risultato di tutelare i clienti con un giusto avviso e, importantissimo, di innescare con gli stessi un’interazione, come mostrato nell’immagine sottostante,  utile a tracciare il nascere di nuovi siti cloni e l’identificazione dei numeri di telefonia mobile da cui gli SMS vengono inviati.

Come per altre campagne di phishing condotte via SMS invitiamo i lettori a trasmetterci attraverso i commenti a questo articolo informazioni relative a:

• sito web indicato nell’sms;
• numero di telefono mittente.

Tali informazioni, una volta validate dall’amministratore del blog, diverranno pubbliche consentendo a chi deputato al contrasto ed alla’azione investigativa di seguire l’evolversi della campagna di phishing.

D3Lab ringrazia per la collaborazione.

Troppo spesso i criminali dediti al phishing operano realizzando siti clone che traggono immagini, fogli di site e javascript direttamente dai siti legittimi degli enti attaccati.

Basterebbe poco per evitare che ciò avvenga e il phishing odierno a danno di Banca Popolare dell’Alto Adige ne è una dimostrazione.

come mostrato dall’immagine soprastante la pagina web realizzata dai criminali non mostra alcuna immagine.
Osservando il codice della pagina web si nota come le immagini siano tratte dal dominio legittimo di Volksbank.

se si cerca di visualizzare l’immagine da domini non appartenenti a Volksbank si ottiene un messaggio di errore indicante un probabile determinato dalla richiesta della risorsa giungendo con un referer esterno a Volksbank.

Il sistema usato da Volksbank è certamente efficace sino a che il cyber criminale non decide di uploadare insieme al file htm/html anche tutti i file grafici.

La seconda pagina fraudolenta ha la funzione di catturare la griglia dei codici dispositivo usati da chi non fa uso di token otp.

L’attacco di phishing in questione è stato portato attraverso l’uso di redirect posizionati nello spazio web di siti altrui grazie a file manager non protetti. 

Nel caso specifico il sito web francese è in uso sin dal 18 marzo per portare attacchi di phishing a danno di Banca Popolare dell’Emilia Romagna, Banca Popolare di Sondrio e oggi Volksbank.

Le pagine clone sono state inserite in un secondo sito web violato facendo uso di assetmanager, un altra tipologia di file manager che è spesso possibile individuare non protetto con semplici dork.

Il foglio di stile richiamato dalla seconda pagina fraudolenta è tratto da un terzo sito, compromesso sempre facendo uso di file manager non protetto.

L’uso di redirect, assetmanager e file con nomi “standardizzati” consente di attribuire la paternità dell’attacco descritto ad un gruppo criminale identificato sin dal 2009, responsabile anche nel 2010 e 2011 di una violentissima campagna di phishing a danno di molti istituti facenti capo all’home banking di Cedacri. 

L’attenzione nuovamente riposta da tale gruppo ad istituti colpiti in passato, con la forte attività registrata nel mese di marzo, lascia ipotizzare una recrudescenza dei tentativi di frode per i prossimi mesi.