pagina fraudolenta

Nella giornata odierna il monitoraggio D3Lab ha permesso di rilevare un nuovo tentativo di frode a danno dei clienti del portale di prenotazione alberghiere Expedia, phishing mirato principalmente a colpire gli albergatori collegati al portale.

pagina fraudolenta

 

Si tratta in realtà del sesto attacco registrato da D3Lab dall’inizio del 2014. Attacchi identici erano stati rilevati nel 2013, anno nel quale i phisher avevano colpito anche gli iscritti al portale Venere.com.

 

L’esame delle directory esplorabili evidenziava immediatamente la presenza di un file php che si rivelava essere una shell

index of

remota nsTView v.2.1 protetta da login.

 

login shell remota

 

Questo fattore andava ad aggiungersi a altri indizi che permettevano di correlare l’attacco appena rilevata a recenti tentativi di frode attuati a danno di Banca Popolare dell’Emilia Romagna, nel corso dei quali era stata individuata la medesima tipologia di shell, sempre in un file php con l’identico nome.

Gli attacchi a BPER si erano dimostrati ben articolati, con l’url di attacco, il link presente nella mail, avente funzione di redirect, portando le vittime verso la pagina clone posizionata in un secondo sito compromesso, dall’esame del cui codice si rilevava l’invio delle credenziali raccolte nel form ad un terzo sito violato.

Proprio esaminando uno dei siti web nei quale erano state inoculate le pagine clone si rilevava la sostituzione dei file costituenti

index of

 

il clone BPER con altri. Uno di questi era la shell remota nsTview già rilevata in precedenza, con identico nome,

 

 

login shell remota

 

mentre gli altri file provvedevano a visualizzare pagine clone atte a colpire i clienti di Poste Italiane, per carpirne i dati delle carte

 

clone Poste Italiane 

 

 

di credito, nonché i clienti del Banco Popolare di Sondrio, con la finalità di comprometterne l’account di home banking

 

 

prima pagina fraudolenta

 

attraverso la richiesta di tutte le serie di password dispositive riportate sulla ScrignoCard.

 

seconda pagina fraudolenta

 

Al termine della falsa procedura di autenticazione il codice delle pagina provvederà a riportare l’utente sulla legittima pagina di logout dell’home banking del Banco Popolare di Sondrio.

Per completezza si riporta come lo scorso febbraio il medesimo sito sia stato utilizzato dai criminali per posizionare pagine di phishing volte a colpire i clienti dell’istituto bancario Monte Parma.

Dei tre siti web citati nel presente post due sono cinesi ed uno giapponese.

Il caso Expedia trattato nel presente post permette di evidenziare come il monitoraggio continuativo e l’esame di tutti i casi di phishing rilevabili permetta di individuare un filo conduttore, costituito dall’utilizzo dei medesimi siti violati, dall’uso delle stesse vulnerabilità per accedere agli spazi di hosting, dalla predilezione per una specifica tipologia di shell, che permette di riconoscere la mano comune e quindi di addebitare ad un medesimo gruppo criminale la paternità di un certo numero di attacchi di phishing.

Tale evidenza palesa la dinamicità dei gruppi criminali capaci operare in un breve periodo a danno di svariati enti target.

 

pagina fraudolenta

In data odierna il monitoraggio D3Lab ha permesso l’individuazione di un tentativo di frode, della tipologia phishing, a danno degli utenti italiani dell’istituto bancario britannico Barclays.

Le due pagine web fraudolente realizzate al fine di carpire i dati delle carte di credito dei clienti dell’istituto bancario britannico,

pagina fraudolenta

 

 

pagina fraudolenta

 

sono state inserite in un sito web ospitato su un web server turco, rendendole raggiungibili attraverso l’abilitazione del wildcard sui 

sito/dominio in cui sono inserite le pagine clone

 

domini di terzo livello di un secondo dominio ospitato sul medesimo server.

geolocalizzazione host

 

Lo screenshot sottostante evidenzia immediatamente come la compromissione del web server ad un certo livello possa consentire ai criminali di accedere alla configurazione dei domini di livello inferiore consentendo la generazione di innumerevoli url fraudolenti tutti facenti capo alle medesime pagine clone, inserite nello spazio web di uno solo dei domini

  

individuazione dominio su host

 

Al termine delle procedura di cattura delle credenziali l’utente viene riportato sul legittimo sito Barclays.

prima pagina fraudolenta

Il monitoraggio D3Lab ha portato nella giornata odierna al rilevamento di un tentativo di frode ai danni dei clienti Findomestic Banca, veicolato attraverso l’invio di almeno due differenti messaggi di posta elettronica.

Sono infatti stati individuati due url finali differenti strutturati, grazie all’uso di wildcard per il dominio di terzo livello, in modo da trarre in inganno gli utenti visualizzando nella barra degli indirizzi la la stringa  https.secure.findomestic.it.

L’attacco è portato facendo uso di 4 domini compromessi, due per i redirect, due per le destinazioni, posizionati sul medesimo host thailandese, attraverso i cui pannelli di gestione dei dns sono stati abilitati i terzi livelli con wildcard.

Tutti gli url così realizzati puntano ad un medesimo indirizzo ip statunitense dove è possibile visualizzare le due pagine web fraudolente realizzate al fine di catturare i dati di carta di credito e le credenziali di posta elettronica dei clienti Findomestic.

 

prima pagina fraudolenta

 

seconda pagina fraudolenta

Al termine della procedura le vittime sono riportate su pagine del legittimo sito web Findomestic.

mail fraudolenta

Nella giornata odierna il monitoraggio D3Lab ha permesso di rilevare un tentativo di phishing a danno dei clienti deli istituti di credito facenti uso del sistema di home banking InBank gestito dalla Phoenix Informatica Bancaria SpA, società che fornisce servizi bancari a 150 anche sul territorio nazionale.

La mail di phishing, partita da un indirizzo IP peruviano, presenta le seguenti caratteristiche:

mail fraudolenta

 

 Mittente visualizzato: InBank.it”<[email protected]>

Oggetto: MPCYXHKHXD

Corpo del messaggio:

————————————————————————

Per ragioni di Sicurezza e Protezione, e per il miglioramento del nostro servizio и necessario confermare il tuo conto. Per questo, и necessario Scaricare e completare il documento allegato © InBank.it 2014 (Phoenix Informatica Bancaia) IRJWLZOJVWXHLSNHYXEPPVOKVRSZFKPUOQPRUW

————————————————————————

Allegato: InBank.Html

Il messaggio non è fortunatamente di buona fattura: sebbene in apparenza provenga da un indirizzo mail appartenente al dominio inbank.it, presenta un oggetto assolutamente criptico e, particolare maggiormente rilevatore, la mancata riproduzione del carattere “è” in luogo del carattere “и”, chiaro indicatore dell’opera di persone dell’Europa dell’Est o di Russia e paesi limitrofi.

La mail porta con se in allegato un file html, denominato InBAnk.hmlt, che aperto in locale presenta il logo del servizio

allegato fraudolento 

InBank ed un form in cui sono richiesti codice di accesso, password, indirizzo email e, per due volte consecutive, token otp. I dati sono inviato a pagine php posizionate su un server statunitense, dove, ricevuto un messaggio di errore si viene invitati

pagina web fraudolenta

 

a reinserire la medesima tipologia di dati richiesti dall’allegato. Al termine della procedura si approda su pagine legittime del servizio InBank.

L’analisi di parte del codice php utilizzato dai criminali fornisce una ulteriore informazione sulla loro origine: se si cercano in

codice php

rete informazioni relative al nick name riportato quale firma in seconda riga (// made by NoiDoi) si individuano notizie riferite a due artisti (cetamente estranei ai fatti) del panorama musicale romeno.

 

mail fraudolenta

D3Lab ha rilevato in data odierna un tentativo di phishing a danno degli utenti CheBanca.

La mail di phishing, partita da un host belga, presenta le seguenti caratteristiche:

mail fraudolenta

mittente apparente: [email protected]

oggetto: Inattività del suo conto

 

testo del messaggio (in base 64):

————————————————————————————————————

In filiale ti sono state consegnate 2 buste contenenti le tue credenziali:

 

    La Tessera Personale, su cui sono indicati il tuo Codice Cliente e i Codici Dispositivi.

    Il Codice di Accesso.

 

Le credenziali sono ora attive e pronte per essere utilizzate!

Per inattività del suo conto, le chiediamo di aggiornare il suo conto effettuando

l’accesso nella sua area clienti.

Nell’Area Clienti alla sezione Conto Tascabile>Informazioni > Informazioni sul Conto trovi la copia del Modulo di Apertura firmato

da CheBanca! a conferma dell’attivazione del conto.

 

» Accedi ai servizi online

Con i nostri migliori saluti,

CheBanca! S.p.A.

————————————————————————————————————

dove “Accedi al servizio online” celava il link ad una singola  pagina fraudolenta inoculata in sito web messicano,

pagine web fraudolenta

nella quale era richiesto all’utente il codice cliente, la data di nascita ed il pin, da digitare con il tastierino virtuale.
Inseriti i dati si approdava al sito legittimo di CheBanca.

Il dominio messicano è stato messo off-line mentre redigevamo il presente articolo.

 

mail fraudolenta

Nella giornata odierna l’attività dei segnalatori collaboranti con D3Lab ha permesso l’identificazione di due tentativi di phishing a danno di clienti Fineco Bank.

Le due mail fraudolente, entrambe partite dal medesimo indirizzo IP francese, presentavano le seguenti caratteristiche: 

mail fraudolenta


mittente visualizzato: 
“FinecoBank”<[email protected]>

oggetto (mail 1): Attenzione! Urgente rinnovo del sistema di sicurezza di pagamenti

oggetto (mail 2): Attenzione! Sistema di sicurezza della nostra banca.

corpo del messaggio:

———————————————————————————————————————————————————————

Gentile Cliente,

Egregi clienti della banca internet FINECO. Vi informiamo su ultime novita del sistema di sicurezza della nostra banca. La rinovata tecnologia e il nuovo server ci permetterano ad entrare all’altro livello di sicureza per i vostri pagamenti online.

La banca FINECO insiste all’esecuzione obbligatoria della procedura di autentificazione ripetuta per transferire il piu presto la vostra informazione personale al nuovo e piu sicuro server della nostra banca.

Per far funzione il vostro conto corente e carta di credito in modo regolare e necesare convalidare i dati al nuovo server proteto (https://www.fineco.it/sicurezza [l’url precedente nasconde il link a due siti compromessi]) usando la combinazione Codice Utente , Password e dati relativi alla carta di credito , altrimenti entro 24 ore il vostro conto sara temporaneo bloccato per far uscire i mezzi finaziari allo scopo di evitare il numero sempre piu incremento di azioni ilicite.

Per maggiori informazioni puo’ contattarci dalla sezione “Help e contatti” in area riservata del sito oppure chiamando i numeri:

– 800.52.52.52 (dall’Italia)
– 02.2899.2899 (dall’estero e da cellulare)

La ringraziamo per aver scelto Fineco.

Cordiali saluti,

Customer Care
FinecoBank

———————————————————————————————————————————————————————

Gli utenti più ingenui che non comprendessero, dall’italiano sgrammatica del testo del messaggio, di trovarsi in presenza di una frode, cliccando sull’url riportato dal messaggio verrebbero condotti dai collegamenti ipertestuali presenti nella due mail a pagine fraudolente inseriti in siti web, presumibilmente violati, collocati sul medesimo server statunitense.

Nella prima pagina, riprodotto nell’immagine sottostante, vengono richieste user name e password di accesso all’account di home

prima pagina fraudolenta

 

banking al fine di “introdurre” la vittima in una cornice grafica a lui nota, inducendolo ad abbassare l’attenzione, per poi chiedergli, nella seconda pagina fraudolenta, dati personali e codici e password relativi alla carta di credito. 

seconda pagina fraudolenta

Dopo aver inserito e confermato i dati la vittima viene ricondotta al sito legittimo di Fineco Bank.

A seguito della pubblicazione degli articoli riguardi il phishing contro gli utenti Carrefour

Phishing Carrefour via SMS
Continua il phishing Carrefour via SMS

molti lettori hanno commentato fornendoci utili informazioni relativamente alle modalità di realizzazione della frode e sollevando talvolta qualche dubbio riguardo alla gestione dei loro dati da parte di Carrefour SpA, ipotizzando una fuoriuscita di dati sensibili dalla rete delle società.

A tutt’oggi D3Lab esclude che ciò sia avvenuto.

Abbiamo svolto alcune ricerche contattando via mail parte dei commentatori per avere informazioni di prima mano da chi aveva ricevuto l’SMS fraudolento. Sebbene alcuni commentatori fossero effettivamente  clienti Carrefour, inevitabile vista la presenza sul mercato nazionale di tale marchio, molti altri non lo erano e non sono mai stati clienti Carrefour.

D3Lab ha verificato se i numeri di telefono dei commentatori che lo hanno indicato fossero individuabili in rete attraverso l’uso dei motori di ricerca. Anche tale ipotesi è stata fugata dato che diversi numeri segnalatici non sono risultati presenti sul web.

D3Lab reputa quindi che i criminali, assai semplicemente, abbiano realizzato in modo automatizzato le liste di numeri di telefono a cui spedire i messaggi, procedendo quindi ad un invio indiscriminato di SMS.

A parere di D3Lab quanto supposto da alcuni lettori, riguardo la fuoriuscita di dati dei clienti  Carrefour dalle strutture della società stessa, appare quindi privo di fondamento.


Coloro che volessero fornirci informazioni riguardo alla frode possono indicare nei commenti o in mail spedite a [email protected]:

  • numero di telefono da cui sono inviati gli SMS;
  • sito web indicato nel messaggio per l’adesione all’offerta.

Qualsiasi altra informazione quale:

  • valore dell’eventuale ammanco subito dalle vittime sulla carta di credito;
  • tipologia di spesa fatta dai criminali attraverso l’uso indebito della carta di credito;

è gradita.

Non è il caso che ci contattiate telefonicamente, mail e commenti sono sufficienti.

 

D3Lab spera che le informazioni fornite dai lettori e rese pubbliche nei commenti siano di utilità alle forze dell’ordine ed a Carrefour SpA nel contrasto di queste frodi

Phishing Via SMS

I recenti casi di phishing veicolato via messaggi SMS hanno evidenziato alcune problematiche relative alle attività di contrasto e monitoraggio del fenomeno.
D3Lab ha ritenuto utile esaminarle per comprendere quali potessero essere le azioni più idonee a permettere una tempestiva individuazione delle campagne di attacco al fine di consentire l’applicazione di efficaci azioni di contrasto.

Ne è nato un documento, “Considerazioni sulla modalità di diffusione delle frodi on-line attraverso dispositivi mobili”, indirizzato 

Phishing Via SMS

  

principalmente a CIO/IT Manager ed operatori del settore, pensato quale spunto di riflessione per lo sviluppo di metodiche di gestione e linee operative da adottarsi in risposta alla specifica tipologia di aggressione informatica. 

D3Lab resta in attesa di feedback e considerazioni da parte di operatori del settore e lettori.

Download 

visite agli articoli relativi alla frode

Il 14 Dicembre 2013 abbiamo riportato la presenza in rete di tentativi di phishing a danno dei clienti Carrefour portati attraverso l’invio di falsi sms promozionali in realtà non provenienti dalla rete Carrefour, ma inviati in massa da cyber criminali.

Nella giornata di ieri, primo dell’anno, D3Lab è stata contattata telefonicamente da utenti che richiedevano conferma della veridicità o meno del messaggio giunto sui dispositivi mobili nel quale si prospettava la possibilità di ricevere un buono spesa da 300 Euro:

Carrefour.: Congratulazioni, vai sul sito internet www.carrefourspa.org e richiedi il buono spesa da 300 euro Fondo aiuto alle famiglie MINISTERO SVILUPPO ECON.

L’analisi delle statistiche del nostro sito web ha evidenziato un improvviso interesse per l’articolo relativo alla frode in questione

visite agli articoli relativi alla frode

 

con i visitatori che vi giungono con ricerche mirate a trovare conferma della veridicità di un’offerta tanto allettante.

ricerche dei visitatori

 

L’evidente impennata di visualizzazioni avutasi nella giornata di ieri ed i nuovi commenti inseriti dai visitatori all’articolo dello scorso 14 Dicembre, sono chiari indicatori della diffusione di un nuovo tentativo di phishing, finalizzato a condurre i destinatari dell’sms

impennata visualizzazioni

 

fraudolento sulle pagine clone posizionate all’url www.carrefourspa.org (è un sto truffa, siate prudenti).

Chi desiderasse maggiori dettagli può consultare l’ultimo aggiornamento pubblicato sul blog Edgar’s Internet Tools.

Utilizzando i motori di ricerca si individuano siti in cui sono raccolte segnalazioni relative ai numeri di telefono utilizzati per azioni marketin aggressivo o vere e proprie frodi, da cui traspare, leggendo i commenti, la reale pericolosità di tali minacce

segnalazione utente su tellows.it

 

tanto più che i criminali hanno usato uno strumento, l’sms, utilizzato anche da Carrefour per pubblicizzare le proprie offerte.

Carrefour da parte sua ha pubblicato un warning sul proprio sito web raggiungibile con un link in home page e notizia della truffa è riportata anche sul sito web del Ministero dello Sviluppo Economico.

La frode realizzata attraverso l’uso di SMS consente ai criminali di evadere parte dei controllo messi in atto delle società che si occupano di monitorare e contrastare il fenomeno, prevalentemente orientati ad un analisi di quanto si muove in Internet.

Apparentemente i numeri di cellulare di chi riceve i messaggi sembrerebbero essere stati raccolti dai criminali sul web. Per aver maggiori riscontri invitiamo pertanto chi abbia ricevuto gli sms fraudolenti ad indicarci il proprio numero di cellulare su cui ha ricevuto il messaggio al fine di permetterci di svolgere maggiori ricerche. Ogni dato comunicatoci verrà trattato nel rispetto delle vigenti normative relative a privacy e dati personali, non pubblicato da alcuna parte, né comunicato a terzi, se non alle forze dell’ordine ed alla Magistratura, nel caso tali organi lo ritengano necessario.

Sin da quando D3Lab ha rilevato tale tipologia di attacco si è provveduto a darne notizia a Carrefour ed alle forze dell’ordine, indipendentemente dal fatto che la società non rientri tra i nostri clienti. In questo momento storico, con l’imperante crisi economica,D3Lab ha ritenuto che tale frode rappresenti per le famiglie un insidia reale, da evitare assolutamente, anche se ciò possa significare operare a sfavore delle nostre logiche di mercato e dei servizi da noi  erogati/venduti.

Per tali motivi anche se chi legge queste righe non è desidera fornire informazioni alla nostra azienda, vi invitiamo comunque a segnalare i numeri di telefono mittenti ed i siti web indicati negli sms a Carrefour SpA, consentendo alla società stessa un celere monitoraggio e contrasto dei siti fraudolenti, difficilmente individuabili se non si rientra tra i destinatari scelti dai criminali. 

 

Ulteriori informazioni:

Nessun dump da Carrefour SpA

phishing Venere.com

Dallo scorso marzo i cyber criminali si sono interessati agli albergatori iscritti ai portali di prenotazione alberghiera, realizzando tentativi di frode a danno degli utenti di Venere.com con oltre 20 pagine fraudolente finalizzate alla catture di user name e password, sia attraverso file html allegati alle mail di attacco, sia con pagine clone posizionate in siti violati o domini registrati ad hoc.

phishing Venere.com

In data odierna è stato rilevato un tentativo di phishing a danno degli albergatori iscritti al portale Expidia, partner di Venere.com

mail fraudolenta

 

il cui testo 

———————————————————————

Gentile albergatore,

Grazie alla migrazione a EPC potrà contare su un’ampia gamma di vantaggi, inclusi piani tariffari, avanzate funzionalità di marketing e semplici opzioni di supporto, come assistenza clienti e contabilità. La procedura di migrazione a EPC per il suo hotel è stata avviata. Per approfittare al meglio delle opportunità disponibili per la sua struttura, clicchi sulle tabelle sovrastanti per ingrandire ciascuna sezione e verificare/completare le informazioni necessarie sul suo hotel.

La migrazione del suo hotel a EPC avverrà tra 3 giorni, data della migrazione: 25 dicembre 2013.

Per ricevere le notifiche relative a prenotazioni e cancellazioni via fax, fare clic qui.

———————————————————————

cela sotto la dicitura “fare clic qui” il collegamento ipertestuale alla pagina fraudolenta, inoculata in un sito web thailandese,

pagina fraudolenta

 

 

riproducente i loghi Expedia, nella quale sono richiesti user name e password, inseriti i quali si viene riportati alle pagina legittime del sito Expedia.

D3Lab ipotizza che l’accesso all’account albergatori permetta di leggere le credenziali delle carte di credito su cui le società accreditano all’albergatore la sua percentuale di quanto pagato da chi effettua la penotazione.