This site uses cookies. By continuing to browse the site, you are agreeing to our use of cookies.
AcceptAccept Only EssentialsLearn morePotremmo richiedere che i cookie siano attivi sul tuo dispositivo. Utilizziamo i cookie per farci sapere quando visitate i nostri siti web, come interagite con noi, per arricchire la vostra esperienza utente e per personalizzare il vostro rapporto con il nostro sito web.
Clicca sulle diverse rubriche delle categorie per saperne di più. Puoi anche modificare alcune delle tue preferenze. Tieni presente che il blocco di alcuni tipi di cookie potrebbe influire sulla tua esperienza sui nostri siti Web e sui servizi che siamo in grado di offrire.
Questi cookie sono strettamente necessari per fornirvi i servizi disponibili attraverso il nostro sito web e per utilizzare alcune delle sue caratteristiche.
Poiché questi cookie sono strettamente necessari per fornire il sito web, rifiutarli avrà un impatto come il nostro sito funziona. È sempre possibile bloccare o eliminare i cookie cambiando le impostazioni del browser e bloccando forzatamente tutti i cookie di questo sito. Ma questo ti chiederà sempre di accettare/rifiutare i cookie quando rivisiti il nostro sito.
Rispettiamo pienamente se si desidera rifiutare i cookie, ma per evitare di chiedervi gentilmente più e più volte di permettere di memorizzare i cookie per questo. L’utente è libero di rinunciare in qualsiasi momento o optare per altri cookie per ottenere un’esperienza migliore. Se rifiuti i cookie, rimuoveremo tutti i cookie impostati nel nostro dominio.
Vi forniamo un elenco dei cookie memorizzati sul vostro computer nel nostro dominio in modo che possiate controllare cosa abbiamo memorizzato. Per motivi di sicurezza non siamo in grado di mostrare o modificare i cookie di altri domini. Puoi controllarli nelle impostazioni di sicurezza del tuo browser.
Utilizziamo anche diversi servizi esterni come Google Webfonts, Google Maps e fornitori esterni di video. Poiché questi fornitori possono raccogliere dati personali come il tuo indirizzo IP, ti permettiamo di bloccarli qui. Si prega di notare che questo potrebbe ridurre notevolmente la funzionalità e l’aspetto del nostro sito. Le modifiche avranno effetto una volta ricaricata la pagina.
Google Fonts:
Impostazioni Google di Enfold:
Cerca impostazioni:
Vimeo and Youtube video embeds:
Phishing ai danni di Casa.it
PhishingLe attività di Phishing vengono svolte non solo con l’intento di acquisire i dati bancari delle vittime come spesso vediamo ma anche credenziali di accesso ai più diversi servizi, lo screenshot di apertura ne è per l’appunto un esempio. Il porta immobiliare Casa.it è vittima di una campagna di Phishing dallo scorso 18 Luglio, la campagna con la creazione di un opportuno dominio ad-hoc vuole ottenere le credenziali di accesso del portale.
Il kit costruito dai Phisher è in grado, come visibile nello screenshot successivo, di verificare le credenziali immesse. Se non corrette viene riportato l’errore “Dati di accesso non validi”.
Se invece la vittima digita credenziali corrette si riceve un messaggio di conferma e si viene reindirizzati al sito autentico www.casa.it
I Phisher hanno quindi ottenuto le credenziali che possono essere sfruttate per modificare annunci immobiliari già presenti o inserirne di nuovi.
Nel periodo estivo gli annunci di affitto di case vacanze aumentano, se un annuncio legittimo venisse modificato citando un contatto telefonico/eMail alternativo cosa potrebbe succedere? Il criminale sostituendosi al legittimo proprietario potrà richiedere una caparra su un conto corrente alternativo per la prenotazione dell’appartamento, frodando pertanto la vittima che non solo ha perso la caparra ma anche la prenotazione dell’appartamento.
Serverplan: un altro provider Italiano colpito da Phishing
PhishingSempre più spesso rileviamo campagne di Phishing ai danni di provider Italiani, lo scorso Marzo vi riportavamo un attacco mirato a 4 provider Italiani. Recentemente abbiamo rilevato una nuova campagna fraudolenta ai danni di Serverplan, altro noto provider Italiano partner di cPanel & WHM per l’erogazione dei servizi in Hosting.
I Phisher hanno per l’appunto clonato la pagina di login della WebMail di cPanel, nonostante non siano presenti loghi o marchi di Serverplan nella pagina di Phishing si desume che l’attacco è rivolto ai loro clienti dall’url che incorpora la sottocartella denominata “serverplan” ed inoltre testando l’inserimento di credenziali il form richiama tramite chiamata POST il file “lanciola.php” che, dopo aver ricevuto e gestito le credenziali, effettua un redirect al sito https://www.serverplan.com.
Di seguito un estratto del comando curl sullo script PHP che ha il compito di ricevere le credenziali e reindirizzare la vittima sul sito ufficiale
Acquisite le credenziali delle caselle eMail i Phisher oltre ad accedere ad eventuali dati sensibili contenuti nella casella di posta elettronica, possono estrapolare nuovi contatti ed inviare messaggi fraudolenti.
Invitiamo gli utenti alla massima attenzione.
Il Phisher invia le credenziali delle vittime tramite IRC
PhishingIn un recente caso di Phishing ai danni di Poste Italiane abbiamo potuto analizzare il Kit sfruttato dal Phisher per simulare il portale autentico di poste Italiane, solitamente le credenziali delle vittime vengono inviate al truffatore tramite eMail oppure salvate localmente in un file binario.
Questo Kit in analisi permette di inviare le credenziali anche tramite IRC, in un network ed un canale specifico. Il Phisher collegato alla rete IRC potrà quindi vedere in tempo reale le credenziali (username, password, telefono, carta di credito, ecc) digitate dalla vittima.
Nello screenshot iniziale potete notare una simulazione che abbiamo eseguito sfruttando il kit, uno script PHP ha il compito di collegarsi al canale specificato (#testtest nel nostro esempio) e andrà a riportare le credenziali delle vittime. Il bot IRC è inoltre in grado di rispondere a dei comandi prestabili tra essi è indubbiamente rilevante il comando manda che ha il compito di stampare a monitor tutte le credenziali carpite. Infine il comando Salir termina l’esecuzione dello script PHP ed esce dalla Chat.
Phishing ai danni di Email.it per carpire le credenziali degli utenti!
PhishingL’eMail rilevata, che riportiamo integralmente di seguito, chiede all’utente di confermare le proprie credenziali di accesso causa un ipotetica chiusura degli account, ma chiede inoltre anche l’attuale occupazione, la data di nascita e il paese di residenza.
L’intento del Phisher è indubbiamente quello di ottenere l’accesso alle caselle eMail della vittima e successivamente carpire informazioni sensibili (messaggi e allegati confidenziali), arricchire le proprio liste di eMail a cui spedire Phishing o inviare eMail direttamente dalla casella della vittima.
Abbiamo risposto al Phisher fornendogli dati fittizi, ma integrando un tracciante per profilare il truffatore. L’eMail è stata letta tre volte nell’arco di 24h, probabile perché ha tentato più volte le credenziali errate che gli erano state fornite, l’User Agent ci rivela che l’eMail vengono lette tramite il Browser e la relativa WebMail vanificando un eventuale tracciatura dell’IP ma veniamo a conoscenza dell’uso di Google Chrome e del sistema operativo Microsoft Windows infine il linguaggio del Browser è Francese (fr-FR).
Il phisher potrebbe essere Francese o conoscere molto bene la lingua Francese da preferirla rispetto alla sua lingua nativa, in passato abbiamo già discusso di una forte comunità di Phisher di origine Marocchina.
Phishing a danno della Banca Popolare del Lazio
PhishingNel pomeriggio della medesima giornata abbiamo rilevato una successiva modifica al kit, una volta digitate le credenziali la vittima era invitata a digitare il proprio Token OTP. Attaverso le credenziali e il token il criminale può operare sul Home Banking delle vittima eseguendo operazione illecite, quali bonifici, ricariche telefoniche, ecc ecc.
Notiamo attraverso queste due immagine di sfondo un ulteriore conferma dell’avvenuto aggiornamento del kit, l’orario riportato nei due precedenti screnshot è diverso con un lasso di tempo importante. Infatti l’immagine di sfondo della schermata di login riporta “2017-04-06 08:48” mentre l’immagine di sfondo della schermata del codice OTP riporta “2017-04-06 14:59”. 6h di differenza in cui il Phisher ha sfruttato le credenziali inserite da una vittima per poi effettuare un accesso illecito al homebanking e poi clonare anche una seconda pagina.
Un ultimo particolare, che forse i lettori più attenti avevano già notato nel secondo screenshot, alla destra del messaggio Bentornato/a appare normalmente il nome del cliente dell’istituto di credito una volta eseguito il login. In questo caso il Phisher ha coperto il nominativo con un rettangolo grafico trascurando il cambio di gradiente, permetendoci quindi di riconoscere un ulteriore alterazione.
Phishing ai danni della Banca Carige
PhishingSelezionato il proprio istituto bancario e digitate le credenziali alla vittima viene mostra l’interfaccia dell’Home Baking fedele all’originale, ad eccezzione di una evidente modifica sulla parte centrale in cui vengono richiesti i dati della carta di credito con la giustificazione che è necessario digitarli per sbloccare l’account.
Inanzitutto il footer riporta “2015 – Gruppo Banca Carige – Banca Carige S.p.A.” la dicitura “2015” evidenza come il clone possa essere creato nel 2015 e non attualmente!
Analizzando inoltre il codice HTML è possibile identificare informazioni offuscate o parzialmente modificate dell’utente sfruttato per accedere al legittimo sito di Home Banking del Gruppo Carige per eseguire la clonazione. Come vi mostriamo nei seguenti tre screenshot è possibile risalire al Nome e Cognome, eMail e Numero di Cellulare.
Phishing ai danni della Banca Popolare dell’Alto Adige Volksbank
PhishingNella giorna odierna abbiamo rilevato un nuovo attacco di Phishing ai danni della Banca Popolare dell’Alto Adige Volksbank, l’intento del Phisher è quello di acquisire le credenziali di accesso all’Home Banking e successivamente i 24 Token statici. Sfruttando i token forniti dalla vittima i Phisher potranno effettuare operazioni illecite, come bonifici, ricariche telefoniche e qualsiasi altra operazione concessa all’utente sul suo Home Banking.
Ransomware e WordPress Scanner tramite Phishing Banca d’Italia
MalwareIl link in oggetto di analisi veicola l’utente su un sito Russo dal quale effettuerà il download dell’archivio notifica.zip, tale archivio al suo interno contiene il file notifica0021769.js opportunamente offuscato come possiamo visualizzare dall’immagine seguente.
Aprendo il file JavaScript il computer esegue il download del malware, denominato notifica.exe, da due possibili fonti:
Nei minuti successivi all’analisi da noi compiuta, il malware scaricato risultava corrotto e quindi non eseguibile su alcun dispositivo. Analizzando l’eseguibile era possibile notare blocchi di codice inopportuno che mostrano un errore di esecuzione del processo IPDATE riconducibile al software Download Accelerator Plus DAP10. È probabile che il gruppo di criminali abbia scaricato il malware da una risorsa web tramite Download Accelerator e quest’ultimo a causa di un errore interno abbia corrotto l’eseguibile.
Analizzando successivamente il traffico eseguito dal Ransomware, abbiamo rilevato l’esecuzione di un demone Tor sulla macchina e una insolita attività di scansione di siti web basati sui CMS WordPress e Joomla.
In quasi 9 minuti di analisi il malware ha effettuato 2695 richieste HTTP come possiamo notare in alcuni seguenti screenshot.
Questo slideshow richiede JavaScript.
È quindi possibile che l’attaccante stia sfruttando le macchine infettate per scansionare la rete e identificare siti web basati sui due principali CMS. Non abbiamo invece rilevato alcuna attività di brute-forcing verso i domini scansionati per ricavarne eventuali credenziali.
Per chi volesse approfondire l’analisi rendiamo disponibile la scansione di VirusTotal e la condivisione del sample attraverso Malwr.
Torna il Phishing TotalErg… la schizzofrenia del Recorder Team!
PhishingDel Recoder Team si è molto parlato nelle ultime settimane, quando a seguito di operazioni congiunte di Polizia di Stato (con la specialità della Polizia Postale) e Guardia di Finanza [ articolo 1, articolo 2, articolo 3] e successivamente dei Carabinieri di Carpi diversi appartenenti all’organizzazione sono caduti nelle reti degli investigatori.
Su questo blog e sul profilo Twitter di D3Lab abbiamo nel frattempo continuato a dare evidenza della della loro attività a danno di ING/Agip Eni, Mediaworld, BNL (tweet1, tweet2), segno evidente che la divisione tecnica e gestionale del team criminale è rimasta operativa.
D3Lab assegna a Recorder Team la paternità di una lunga serie di attacchi, dai telefonici, a Carrefour, Agip/Eni, Total Erg fino ai più recenti attraverso un lungo lavoro di analisi delle metodiche operative, dell’utilizzo dei domini creati ad hoc e della struttura dei cloni.
Monitorando alcuni domini creati dai criminali nella giornata di ieri si è rilevata un’attività schizofrenica da parte del Recorder Team che ha coinvolto due domini:
Alle ore 06.07 UTC mediaworldfree.info redirigeva su mediaworldfree.net dove era possibile visionare su clone ING Direct
Il clone è rimasto disponibile solo pochi minuti.
Alle 06:44 UTC il dominio effettuava un redirect verso la sottocartella, inesistente, /TelecomItaliaTelefoniaMobile2016/.
Alle 8:47 UTC il dominio effettuava un redirect verso totalergonlinepetrolinet[.]serversicuro.it dove non era disponibile alcuna pagina.
Alle ore 14.35 UTC mediaworldfree.info redirigeva su mediaworldfree.net dove era possibile visionare su clone CartaSì:
Questa notte nuova svolta!
Alle 00:18 UTC, poco dopo mezzanotte ora di Greenwich mediaworldfree.info redirigeva su mediaworldfree.net dove era possibile visionare su clone TotalErg, clone tutt’ora disponibile.
Il recorder Team torna a colpire Total Erg a distanza di due anni: dall’agosto 2014 alla fine di dicembre i criminali portarono avanti una intensa campagna di phishing veicolato attraverso sms, assurta agli onori della cronaca con servizi televisivi anche in casa RAI. Avevamo scritto due articoli disponibili sempre sul nostro blog: Primo Articolo e Secondo Articolo.
Particolarmente interessante è il dettaglio del codice html della pagina clone sopra evidenziato in viola, che evidenzia come la copia del sito sia stata realizzata il 19 Agosto 2014 alle ore 17:46 e 16 secondi, usando il software HTTrack.
Particolare che rileviamo (vedasi immagine sottostante) anche nei file acquisiti dal phishig TotalErg del 2014, ad essere precisi del 25 dicembre 2014…in D3Lab si lavora anche a Natale!!
Battuta a parte, l’evidenza palesa come la paternità dell’attuale clone TotalErg sia imputabile al medesimo gruppo criminale che operò già all’epoca.
L’hash differente è dovuto al differente termine riga, come evidenziato da meld.
Malware Android distribuito da falso sito Poste Italiane
MalwareL’attività di Brand Monitor svolta da D3Lab fornisce informazioni utili a monitorare diverse tipologia di minacce, dallo spear-phishing, alla diffusione di malware e phishing tradizionale.
Operando in tale ambito è facile accorgersi come alcune società siano più colpite dal fenomeno della creazione di domini ad-hoc a scopo illecito, non sempre assimilabili al typosquatting, in quanto non creati con l’alterazione di nomi o parole, bensì con concatenazione di termini corretti, nomi di directory, file ed anche servizi.
Poste Italiane sembra essere, in base ai rilievi D3Lab, una delle società più colpite da tale fenomeno:
con la creazione di oltre 70 domini con nomi ad essa riconducibili in nemmeno due mesi (rilievi 01/02/17-23/03/17).
Non sempre però, si tratta di pagine che cercano di acquisire direttamente credenziali personali, numeri di carta di credito o altri dati sensibili, come nel caso del dominio poste-postpay.net dalle cui pagine veniva proposta l’installazione di una applicazione Android Poste Italiane, in realtà un malware Android Trojan.
Il dominio creato a supporto della distribuzione del malware è stato individuato attraverso l’analisi di reverse whois su precedente sito di phishing a danno di Poste Italiane.
La tecnica usata consiste nell’individuare il nominativo o la mail di chi ha registrato il sito di phishing ed effettuare poi una ricerca sul db dei whois per evidenziare se la stessa persona ha registrato altri siti simili.
Sovente l’attività di intelligence che si sviluppa dall’esame di più casi di phishing correlabili ad un singolo gruppo criminale evidenzia l’interesse dei criminali nei confronti di più enti target, talvolta di paesi diversi tra l’altro anche nomi di dominio creati per phishing ai danni di ente francese, registrati sempre dalla stesa persona.
Il layout del falso sito PosteIT, come si vede dagli screenshots, era ottimizzato per dispositivi mobili, e dopo una prima schermata di falso login
propone il download di una ‘Banco Poste Security Module App’
e di seguito le istruzioni per l’installazione sul dispositivo mobile.
Il file scaricato risultava ad una analisi di VirusTotal chiaramente come un malware
Da notare anche come l’applicazione apk che viene installata abbia tra le sue caratteristiche la possibilità di acquisire permessi di scrittura e lettura di SMS, effettuare chiamate telefoniche, ecc…..
cosa che denota le caratteristiche malevole del file PostePay.apk
In questo screenshot vediamo la fase di attivazione del programma, dove si nota la presenza del logo Postepay.
Come sempre in questi casi vale la regola di evitare di installare software di cui non sia certa la fonte, verificando con attenzione sia l’indirizzo del sito utilizzato, ma anche il file scaricato ad esempio attraverso siti di scansione malware online come Virus Total.