Cogliendo l’occasione della stesura del “Rapporto D3Lab 2013” sono state effettuate valutazioni statistiche sull’andamento degli attacchi di phishing rilevati da D3Lab.
E’ doveroso sottolineare che conteggiare gli attacchi di phishing non è semplice per svariati motivi:
- l’invio delle mail di attacco viene ritardato dal web server su cui i phisher hanno caricato lo script di invio delle mail e le stesse arrivano su più giorni;
- le pagine clone non sono state eliminate e risultano essere riutilizzate a giorni o settimane di distanza;
- la stessa pagina fraudolenta, in particolare per i file php che gestiscono le credenziali inviate dagli allegati alle mail, è usata per più mesi consecutivamente;
- attraverso l’uso di script per la creazione delle mail e della gestione di fake subdomain, attraverso htaccess o alla violazione dei pannelli di gestione dns, i phisher creano innumerevoli url unici puntanti alla medesima risorsa,
- l’uso di redirect aggiornati e short url in sequenza permette al phisher di usare svariati cloni aggiornando un unico redirect;
- ecc…
Ci si può quindi rendere conto quale sia la difficoltà di eseguire un monitoraggio su un insieme di informazioni …fluido.
D3Lab ha optato per il conteggio degli url unici di attacco:
- il medesimo url, anche riutilizzato per più giorni, o a distanza di giorni, viene conteggiato una sola volta;
- url diversi, generati inglobando, l’indirizzo mail del destinatario, ma puntanti alla medesima risorsa sono conteggiati una sola volta;
- url con fake subdomain sono conteggiati individualmente.
D3Lab non ha la pretesa di aver individuato il miglior sistema di conteggio di tale tipologia di incidente, tuttavia utilizzando stabilmente il medesimo metro di valutazione si riesce a ottenere un’indicazione attendibile dell’andamento dell’attività criminale.
Lo sviluppo ed il miglioramento di strumenti e procedure ad hoc ha permesso a D3Lab, nell’anno 2013, di vagliare oltre 15.000 messaggi di posta elettronica e 500.000 segnalazioni derivanti dai data base on-line.
In tal modo D3Lab è riuscita nell’anno 2013 ad esaminare oltre 4200 casi, con un incremento rispetto al primo quadrimestre 2012 di oltre il 600 %. L’incremento dei casi monitorati non è dovuto unicamente alle migliorate capacità ed al solo incremento del fenomeno criminale in panorama Italiano, ma anche all’attenzione riposta dal settembre 2013 nei confronti di enti stranieri, nei cui confronti D3Lab ha cominciato ad attuare un attento monitoraggio con conseguente analisi e ricerca.
La tabella nel seguito riportata rappresenta l’andamento degli attacchi di phishing rilevato a danno dei vari enti. I dati numerici sono quelli pubblicati nel gennaio 2013 (Phishing: chiusura 2012 e previsioni 2013) e relativi ai casi rilevati nell’anno 2012. Sulla base degli stessi si è deciso di dare solo un indicazione dell’andamento per i periodi a seguire, senza riportare valutazioni numeriche che potrebbero essere fuorvianti dal momento che in parte il lievitare del numero di url fraudolenti rilevati a danno di specifici enti può certamente essere dovuto ad un incremento delle capacità di monitoraggio ed identificazione degli attacchi da parte di D3Lab.
La freccia verso il basso ↘ indica ovviamente un calo degli attacchi, mentre quella verso l’alto ↗ indica un aumento. Si è cercato di dare risalto all’andamento di quanto rilevato con l’uso di colori, dove lo sfondo delle celle di colore:
- verde indica 0 attacchi;
- grigio indica stabilità;
- azzurro indica miglioramento;
- rosso indica peggioramento.
La colonna relativa all’anno in corso (2014) prende in considerazione questo primo trimestre. In tal caso il colore rosso indica la presenza di attacchi. Non si è voluto fare una valutazione statistica su base trimestrale, preferendo lasciare alla freccia verso l’alto ↗ il compito di evidenziare quei casi nei quali i rilievi hanno già portato all’identificazione di url malevoli in numero superiore a quelli rilevati l’anno precedente.
Si può notare come per alcuni enti siano stati individuati attacchi sporadici destinati a non ripetersi nei periodi seguenti e come, in altri casi, enti precedentemente non colpiti dal fenomeno, o con un calo di attenzione da parte dei criminali, siano tornati invece a rappresentare un target in questi primi 90 giorni del 2014.
Va notato il ripetersi di attacchi ad enti non bancari, quali le maggiori compagnie di telecomunicazione, i portali di prenotazioni alberghiere Venere ed Expedia e di giochi e scommesse on-line SNAI ed Eurobet.it.
Nel 2013 si è confermato il calo di interesse verso l’home banking a favore delle carte di credito, con un incremento di attacchi a danno di Visa e Lottomatica, a fronte di un calo di quelli a danno di Carta Sì, per la quale tuttavia si è rilevata una forte inversione di tendenza nel trimestre in corso, come sta avvenendo anche per gli utenti delle carte emesse da Banche di Credito Cooperativo.
Con la fine del 2013 si è presentato sul panorama italiano l’attacco portato a mezzo SMS. Di pe se questo non rappresenta una novità, nulla di innovativo, tuttavia, operando sul phishing dal 2009 D3Lab non lo aveva mai rilevato. Nel caso specifico gli attacchi sono stati mirati a colpire i clienti della catena di grande distribuzione Carrefour (Continua il phishing Carrefour via SMS), ripetendosi nel 2014 anche a danno di Poste Italiane. L’analisi di tale tipologia di attacchi è stata per D3Lab lo spunto di riflessione che ha portato a rilasciare, il 13 Gennaio, scorso il “Phishing via SMS report“.
Il monitoraggio a livello internazionale si è focalizzato, dal primo Settembre 2013, principalmente su enti europei, evidenziando un forte interesse dei criminali dediti al phishing per gli utenti di lingua tedesca
con diversi enti tedeschi ed austriaci nel mirino dei criminali, con le tedesche Sparkasse e Post Bank che nell’arco del terzo quadrimestre in esame hanno surclassato in termini di url malevoli a loro danno quasi tutti gli enti italiani.
Gli utenti del web di lingua francese hanno cominciato ad essere fortemente colpiti dal phishing nel secondo semestre 2012, quando iniziò una consistente campagna di attacchi a danno degli utenti di Carrefour Banque (Phishing Carrefour Banque), poi cessata nelle prime settimane del 2013, e di EDF fornitore di energia elettrica francese, ai cui utenti veniva proposto dai criminali l’addebito della bolletta su carta di credito.
Nel 2013 si è assistito ad un allargarsi del numero di enti colpiti, con attacchi all’ente deputato all’erogazione degli assegni famigliari (Caisse Nationale des Allocations Familiales), alla Banque Postale e all’operatore di telefonia mobile SFR.
Gli utenti britannici non sfuggono all’attenzione dei phisher, con attacchi mirati principalmente agli accounts customer degli operatori di telefonia mobile ed a Tesco Bank (Tesco Bank phishing)
A livello extra europeo si è rilevato oltre ad elavato phishing per quei provider di servizi internazionali quali PayPal, FedEx, Western Union, Google, Yahoo, Facebook, Twitter, ecc.., anche un elevatissimo numero di attacchi ai clienti/utenti di enti sud americani, con la novità di sporadici attacchi mirati a istituti bancari per utenti di lingua araba ed ad una crescente campagna di phishing volta a colpire utenti asiatici. In tale contesto i rilievi D3Lab hanno evidenziato un elevato interesse dei criminali verso gli utenti di istituti bancari indiani, con phishing “multimarca”, e malesi con ripetuti attacchi da parte delle medesime entità criminali a Hon Leong Bank, MayBank2u ed RHB Now.
L’analisi dei dati raccolti nel terzo quadrimestre 2013 ha evidenziato un preoccupante interesse dei criminali verso i clienti degli operatori delle telecomunicazioni.
Nel panorama italiano la semplice analisi del grafico sopra riportato sembrerebbe evidenziare un andamento assolutamente preoccupante a causa del picco di url malevoli rilevato nel mese di dicembre. In realtà ciò fu dovuto alla compromissione di un unico host di un provider francese, che permise ai phisher di inserire nello spazio web dei molti domini ivi presenti innumerevoli cloni a danno dei principali operatori di telefonia mobile italiani e di SNAI. Data la dimensione delle campagna di phishing, ad opera del medesimo gruppo, che ne conseguì è abbastanza probabile che il provider abbia ricevuto segnalazioni di quanto stava accadendo. Ciononostante i criminali ebbero la possibilità di mantenere i propri cloni sull’host compromesso per quasi un mese.
A livello europeo l’interesse dei criminali per i criminali dei provider di telecomunicazioni fu confermato dai dati raccolti. Risulto tuttavia esservi una grande differenza tra il phishing volto a colpire gli utenti delle società britanniche e gli altri. Mentre nel resto d’Europa i criminali richiedevano alle vittime direttamente i dati delle carte di credito, in UK (e per quanto riguardala sola T-Mobile anche in Germania ed Ungheria) venivano richiesti solo i dati di accesso all’account cliente.
Il recupero di kit di phishing, avvenuto in un buon numero di casi, ha evidenziato, unitamente all’identificazione di differenti modalità operative, come non vi sia apparente commistione e comunione di risorse tra le entità criminali impegnate a frodare gli utenti dei diversi paesi.
Venendo alle modalità attuative si è notato un sempre pesante coinvolgimento dei siti web basati su Joomla e WordPress, probabilmente dovuto alla loro diffusione. I criminali accedono allo spazio web altrui non solo attraverso vulnerabilità dei CMS in uso, ma anche conquistando le credenziali dei pannelli di gestione dei domini.
Nell’arco dell’anno 2013 la maggior parte degli attacchi è stata portata attraverso link diretti e allegati alle mail. Con la fine dell’anno si è denotata una tendenza in aumento, confermatasi nel trimestre corrente, dell’uso di allegati con tag IFRAME, i cui url sorgenti sono spesso mascherati con l’uso di short url e redirect.
L’invio delle credenziali avviene sempre attraverso la gestione dei dati inviati dal form ad un file php che:
- nella maggioranza dei casi le invia ad un indirizzo mail;
- le scrive su file di testo, prassi apparentemente in calo;
- le scrive su data base remoti, casistica legata alla tedesca Post Bank;
- le invia via curl ad altro host.
I criminali in un numero crescente di casi fanno uso dell’indirizzo email del destinatario inserendolo nell’url proposto nella mail e di fake subdomain gestiti attraverso i pannelli gestione dominio o attraverso file htaccess.
Conclusioni: il phishing, per quanto considerato dai più una minaccia poco meritevole di attenzioni, miete ancora un elevato numero di vittime. La diffusione di tablet e smartphone, spesso in mano a utenti con una bassa competenza informatica, ha molto ampliato il bacino di pesca dei phisher.
Di contro l’assenza di una normativa internazionale e di una collaborazione tra le forze inquirenti dei vari paesi, così come avviene invece a contrasto delle pedofilia, lascia campo aperto ai criminali che, adottando precauzioni minimali, riescono a sortire effetti devastanti operando con basso livello di rischio.
In tale ottica il dotarsi di un servizio di monitoraggio e contrasto al phishing, come quello erogato da D3Lab, può essere per le aziende una valido strumento di tutela della propria immagine e dei propri clienti.
D3Lab persegue attraverso questo blog l’obbiettivo di fare informazione ed allertare gli utenti sulle minacce rilevate in tema di phishing. Non vengono riportati tutti gli attacchi individuati, ma unicamente quelli che si presentano quali novità, verificandosi a grande distanza di tempo dai precedenti, o perché introducono elementi innovativi, quali nuovi temi grafici o diverse metodiche di attacco.
Chiunque voglia supportare l’azione di ricerca di D3Lab può farlo inoltrando il phishing ricevuto o allegando i sorgenti delle mail fraudolente all’indirizzo di posta elettronica [email protected].
Phishing pasquale per Banca Popolare di Milano
Non categorizzatoNon esistono vacanze per i criminali che nella domenica di Pasqua hanno portato un nuovo attacco di phishing a danno dei clienti di Banca Popolare di Milano.
La mail di attacco
partita da host russi
presenta le seguenti caratteristiche:
mittente visualizzato: “Banco Popolare di Milano S.p.A”<[email protected]>
oggetto: Sicurezza e Protezione dalla Banco Popolare di Milano
corpo del messaggio (plain text):
————————————————————-
Per ragioni di Sicurezza e Protezione,
e per il miglioramento del nostro servizio и necessario confermare il tuo conto.
Per questo, и necessario scaricare e compilare modulo allegato.
Banca Popolare di Milano Societа Cooperativa a r.l. Piazza F. Meda, 4 – 20121 Milano – tel. 02 77001 – P.IVA 00715120150
Iscrizione al Registro IVASS (1 febbraio 2007 n° D000027015) – Gruppo Bipiemme. Tutti i diritti riservati.
YOQMIJRVIGPSKKIKGOIGFXDIVRHTUQCRWSFXGL
————————————————————-
come si può notare la terza riga contiene il carattere и quale errata codifica della “è”.
Come indicato nel testo della mail la stessa portava con se un allegato , costituito dal file “Banco Popolare Di Milano DOCUMENTO.Html” che aperto in locale presentava a browser la pagina riprodotta nell’illustrazione sottostante.
Il documento presentava la parte relativa al tag FORM offuscata. La trasposizione in chiaro evidenziava come le credenziali
venissero inviate ad un web server su ip cinese basato su Red Hat.
I nomi di file e directory utilizzati, nonché il template della mail, lasciano presumere l’attacco sia riconducibile agli autori delle recenti aggressioni a InBank ed Monte Paschi Siena.
Rapporto D3Lab 2013
Non categorizzatoIl 2013 ha visto D3Lab impegnata ad allargare la propria azione di monitoraggio degli attacchi di phishing, sviluppando propri strumenti e procedure atti a migliorare le capacità di individuazione e le possibilità di analisi degli stessi.
Nell’arco dell’anno l’azienda ha potuto potenziare le proprie funzionalità ponendo la propria attenzione su un numero maggiore di target ed analizzando una quantità sempre crescente di casi di phishing.
Le informazioni così raccolte vengono ora pubblicate nelle ventidue pagine del Rapporto D3Lab 2013, documento riassuntivo dell’attività svolta lo scorso dall’azienda.
Il documento, pensato per società ed aziende interessate ai servizi proposti da D3Lab e per il law enforcement nazionale, non è disponibile in download ma ne deve essere richiesto via mail aziendale scrivendo a [email protected].
indice dei contenuti
pagina 4
pagina 8
pagina 9
pagina 17
BCC Romagna Occidentale, un buon contrasto
Non categorizzatoA parole tutti sono veloci ad ottenere la messa off-line di pagine di phishing, qualcuno addirittura assicura tempi di shutdown di cinque minuti.
La realtà è diversa dovendocisi scontrare con:
– difficoltà linguistiche, che possono non far comprendere pienamente quanto si sta riportando, o che possono comunque lasciare il dubbio che la mail di warining ricevuta nasconda in realtà una frode;
– fusi orari: si rileva la presenza di pagine di phishing posizionate su un server in estremo oriente quando in Italia è in tardo pomeriggio e li già notte, oppure nel continente americano quando in Italia è prima mattina e li è ancora notte. A meno che non si abbia a che fare con grandissimi provider con personale turnista, la segnalazione all’abuse office non verrà presa in carico che dopo diverse ore;
– giorni festivi, a meno che non si abbia a che fare con grandissimi provider con personale turnista, la segnalazione all’abuse office non verrà presa in carico che alla ripresa delle attività lavorative, dopo uno, due o più giorni;
– provider e gestori dei siti web sordi, o (incredibilmente) irraggiungibili;
– procedure interne farraginose o mole di abuse warning tale da comportare tempistiche lunghe;
– ecc…
In una delle condizioni precedenti deve essere rientrata la gestione del caso di phishing, da noi riportato il 9 Aprile scorso, a danno dei clienti della BCC Romagna Occidentale. L’attacco ha visto il posizionamento di pagine di phishing all’interno del sito web saaspoint.com presumibilmente facente capo alla Saaspoint, società acquisita nel 2011 dalla Appirio, società statunitense operante nel settore servizi ICT e Cloud, e la successiva diffusione di url di attacco contenenti fake subdomain utili a generare url univoci al fine di rendere pressoché inutili i meccanismi di warning dei browser.
I nuovi url generati dai phisher hanno sempre puntato alle medesima pagina clone, cosa non scontata, in quanto l’uso dei fake
subdomain permette facilmente l’implementazione di cloni diversi posizionati su host differenti.
Gli enti colpiti (banca e/o società erogante il servizio di home banking) sono quindi intervenuti, come abbiamo in passato già visto fare ad altri, impiegando le immagine usate dai phisher nelle pagine clone e tratte dai domini legittimi per visualizzare chiari messaggi di allerta evidenzianti la natura fraudolenta della pagina che si sta visionando.
Phishing CariChieti
Non categorizzatoCome detto in precedenti post il 2014 ha presentato una recrudescenza degli attacchi di phishing, con i criminali intenti ad intensificare i tentativi di frode nei confronti di enti già colpiti, ma anche a designare nuovi target.
Il monitoraggio svolto in modo perpetuo ha permesso a D3Lab di rilevare un tentativo di phishing a danno dei clienti della Cassa di Risparmio di Chieti, che poggia il proprio home banking sulla piattaforma di CSE (Consorzio Servizi Interbancari).
La mail datata 11 Aprile, partita da un indirizzo IP francese e transitata su un server britannico, presenta le seguenti caratteristiche:
mittente apparente: Titolari
oggetto: mail@destinatario Estratto Conto
corpo del messaggio (in html):
——————————————————————————————————————————-
Gentile email,
Inforimiamo i nostri Titolari che l’estratto conto on-line dall mese
di Marzo e ora disponibile nell’ area riservata dal sito carichieti.it.
Ricordiamo ai nostri Titolari che ogni estratto conto rimane in linea fine
al terzo mese succesivo all’emissione.
Vedi estratto conto
Servizio Clienti Carichieti
4/11/2014 18:21:41
Questa e-mail e stata inviata all’indirizzio di posta elettronica da lei
indicato al momento dell’inscrizione al sito Carichieti.
——————————————————————————————————————————-
con il collegamento ipertestuale che cela l’url di destinazione:
hxxp://carichieti.co.in/[email protected]/[email protected]%27
E’ opportuno notare che il phisher:
La pagina fraudolenta, visualizzata dopo aver cliccato sul collegamento ipertestuale, riproduce fedelmente la pagina di login al portale di
home banking CSE, presentando alcuni elementi, nella parte superiore destra, non presenti nella pagina legittima, verifiche più attente hanno permesso di rilevare come gli elementi indicati nell’immagine soprastante come in eccesso, siano in realtà presenti anche sulla pagina del reale portale di home banking. L’analisi del codice html evidenzia come in realtà si stia visionando una pagina con frame che trae la sua origina da pagine clone inserite in un sito Joomla compromesso.
Effettuata l’operazione di login con soli username e password la vittima viene rediretta a pagine legittime del sito dell’istituto bancario.
Phishing BCC Romagna Occidentale
PhishingIl monitoraggio svolto da D3Lab nel trimestre da poco conclusosi ha fornito dati allarmanti, evidenzianti una forte recrudescenza del phishing in ambito italiano, con i criminali che rivolgono l’attenzione ad enti target mai colpiti, o da tempo ignorati, e con caratteristiche comuni ai diversi attacchi indicanti come ad operare siano alcuni gruppi dinamici ed agguerriti.
Il monitoraggio odierno ha portato all’identificazione di un tentativo di phishing a danno dei clienti di una specifica Banca di Credito Coperativo, nello specifico la BCC Romagna Occidentale.
La scelta dei criminali di colpire una banca specifico rappresenta una novità. In passato le Banche di Credito Cooperativo sono già state all’attenzione dei criminali che per colpirne gli utenti realizzavano phishing generici, traendo vantaggio dall’utilizzo di una template grafico comune a più istituti.
Nel trimestre appena terminato i criminali hanno condotto diversi attacchi di phishing volti a colpire gli utilizzatori delle carte di credito emesse da BCC e l’attacco odierno si differenzia anche in questo, mirando invece ad acquisire l’accesso all’home banking.
La prima pagina clone riprodotta nell’immagine sottostante e posizionata in un web server britannico, si presenta identica alla
pagina di login del legittimo portale di home banking della BCC Romagna Occidentale, riprodotta nell’immagine sottostante.
Nel caso odierno i criminali hanno reso raggiungibile la pagina abilitando il wildcard sui domini di terzo livello del dominio saaspoint.com, all’interno del cui sito si trova, a tutti gli effetti, la pagina clone. Tale metodica consente loro di creare url univoci per ogni visitatore, vanificando le funzionalità di black list dei browser.
Effettuato il primo login il visitatore approda su una seconda pagina nella quale gli vengono chiesti due codici generati dal token OTP.
Al termine di questo secondo passaggio l’utente viene condotto sul legittimo sito di simplybank.it, lapiattaforma di home banking in uso alla BCC Romagna Occidentale. Il criminale ha tuttavia reindirizzato l’utente sulla porta 443, dove viene visualizzata solo una pagina bianca.
La grafica della seconda pagina, dove vengono chiesti i pin otp, è comune ai recenti attacchi portati dai criminali alla piattaforma di home banking InBank, della Phoenix Informatica Bancaria, e nei confronti di Monte Paschi di Siena. Tali attacchi si contraddistinguevano da altri per l’iniziale uso di un allegato html alla mail fraudolenta, per passare poi alla visualizzazione di pagine on-line.
Nel caso odierno D3Lab non è in possesso della mail di phishing, ma la strutturazione dell’attacco non farebbe pensare all’uso di allagati. Chi ricevesse la mail di attacco a BCC Romagna Occidentale, o a SimplyBank Web, ci farebbe cosa gradita se ce ne inviasse una copia ([email protected])
Phishing Banca del Sud
Non categorizzatoPensare che l’attività di monitoraggio degli attacchi di phishing si concluda con il vaglio delle mail ricevute o l’analisi delle fonti aperte sarebbe limitante. Grazie all’esperienza maturata nell’ambito dell’analisi dei casi di phishing sin dal 2009, D3Lab ha potuto individuare nella mole di tentativi di frode vagliati, quelle caratteristiche che, comuni in parte di essi, consentono di ascriverne la paternità ad uno specifico gruppo.
L’attenzione dedicata in modo continuativo da cinque anni a tale fenomeno ha da tempo permesso all’azienda di “conoscere” le modalità operative, le consuetudini di alcuni di questi gruppi criminali, potendo in tal modo implementare il monitoraggio di mail e fonti aperte con l’attività di analisi, indagine e monitoraggio condotta sui siti e server in uso ai criminali.
Nella giornata odierna, il monitoraggio di uno dei siti web in uso ai criminali da ormai diverse settimane e da questi usato per colpire BPER, Banca Popolare di
Sondrio e Poste Italiane, ha permesso di individuare un nuovo file di redirect destinato a condurre i visitatori più ingenui su pagine di phishing realizzate per colpire i clienti di Banca del Sud e posizionate all’interno di un sito web, presumibilmente violato, già impiegato per ospitare pagine di phishing a danno di Expedia.
La pagina clone visualizza il box di login attraverso un frame presente in una directory di livello inferiore
che risultando esplorabile mostra il proprio contenuto, evidenziando l’utilizzo di immagini, fogli di stile e javascript
caricati nella struttura offensiva e non richiamati dal sito legittimo dell’istituto.
Dopo l’inserimento di username e password la vittima viene dirottata sulla seconda pagina destinata alla cattura dei codici dispositivi presentante la nota struttura
delle pagine di phishing usate per colpire gli home banking basati sul servizio erogato da Cedacri sin dal 2009/2010.
Dopo l’inserimento dei codici dispositivi le vittime vengono portate sulle pagine web del sito legittimo.
Coinbase phishing
Non categorizzatoBitcoin rappresenta una realtà e novità che ormai è impossibile ignorare. Per essa stanno nascendo nuovi servizi, quali sportelli ATM e sistemi di conservazione e movimentazione.
Coinbase è una recente startup creata per la conservazione e movimentazione dei Bitcoin, che sta attirando l’attenzione di importanti investitori, nonché acquisendo da altre importanti società manager capaci, evidentemente convinti delle nuove possibilità rappresentate da Bitcoin.
Così, come c’era da aspettarsi, anche i criminali rivolgono la loro attenzione verso il nuovo bacino di utenti al cui capitale di bitcoin sperano di accedere rubandone, attraverso tentativi di phishing, le credenziali di accesso agli account dei servizi appositamente creati.
Nella giornata odierna D3Lab ha rilevato, su un server olandese, pagine di phishing volte a colpire gli utenti Coinbase.
I circuiti di moneta elettronica Liberty Reserve, Payza e Skrill non sono (o erano parlando del sequestrato Liberty Reserve) nuovi al phishing, sebbene i tentativi di frode siano in realtà limitati. Ora l’attenzione dei criminali avrà quale valvola di sfogo anche i bitcoin.
Phishing Volksbank, ma c’è chi lavora bene
PhishingTroppo spesso i criminali dediti al phishing operano realizzando siti clone che traggono immagini, fogli di site e javascript direttamente dai siti legittimi degli enti attaccati.
Basterebbe poco per evitare che ciò avvenga e il phishing odierno a danno di Banca Popolare dell’Alto Adige ne è una dimostrazione.
come mostrato dall’immagine soprastante la pagina web realizzata dai criminali non mostra alcuna immagine.
Osservando il codice della pagina web si nota come le immagini siano tratte dal dominio legittimo di Volksbank.
se si cerca di visualizzare l’immagine da domini non appartenenti a Volksbank si ottiene un messaggio di errore indicante un probabile determinato dalla richiesta della risorsa giungendo con un referer esterno a Volksbank.
Il sistema usato da Volksbank è certamente efficace sino a che il cyber criminale non decide di uploadare insieme al file htm/html anche tutti i file grafici.
La seconda pagina fraudolenta ha la funzione di catturare la griglia dei codici dispositivo usati da chi non fa uso di token otp.
L’attacco di phishing in questione è stato portato attraverso l’uso di redirect posizionati nello spazio web di siti altrui grazie a file manager non protetti.
Nel caso specifico il sito web francese è in uso sin dal 18 marzo per portare attacchi di phishing a danno di Banca Popolare dell’Emilia Romagna, Banca Popolare di Sondrio e oggi Volksbank.
Le pagine clone sono state inserite in un secondo sito web violato facendo uso di assetmanager, un altra tipologia di file manager che è spesso possibile individuare non protetto con semplici dork.
Il foglio di stile richiamato dalla seconda pagina fraudolenta è tratto da un terzo sito, compromesso sempre facendo uso di file manager non protetto.
L’uso di redirect, assetmanager e file con nomi “standardizzati” consente di attribuire la paternità dell’attacco descritto ad un gruppo criminale identificato sin dal 2009, responsabile anche nel 2010 e 2011 di una violentissima campagna di phishing a danno di molti istituti facenti capo all’home banking di Cedacri.
L’attenzione nuovamente riposta da tale gruppo ad istituti colpiti in passato, con la forte attività registrata nel mese di marzo, lascia ipotizzare una recrudescenza dei tentativi di frode per i prossimi mesi.
Phishing Aruba
Non categorizzatoNella giornata odierna D3Lab ha rilevato un tentativo di phishing a danno degli utenti Aruba.
La mail odierna, partita da un indirizzo ip statunitense, presenta le seguenti caratteristiche:
mittente apparente: Aruba.it <[email protected]>
oggetto: E’ necessario verificare il tuo dominio Aruba
testo del messaggio (in html):
E’ necessario verificare il tuo dominio Aruba Clicca qui per verificare
Il link proposto nel messaggio di posta fraudolento conduce ad una pagina di phishing, inserita all’interno di un sito web statunitense per escort di classe, che riproduce la pagina di login al pannello di amministrazione dei domini in hosting su Aruba
Inseriti i dati, senza che il captcha venga in realtà validato, l’utente viene condotto alle pagina del sito Aruba legittimo.
Il recupero del kit del phisher evidenzia l’invio delle credenziali ad una mailbox gmail.
Non è la prima volta che Aruba rientra nelleattenzioni dei cyber criminali. In passato erano stati rilevati tentativi di phishing volti a carpire i dati delle carte di credito di chi su Aruba ha un proprio spazio di hosting.
Il tentativo odierno si pone invece quale testa di ponte per truffe successive, in quanto l’accesso allo spazio di hosting altrui permette ai criminali di posizionare all’interno dello stesso pagine di phihsing, materiale protetto da copy right o pedopornografico, codice malevolo, ecc….
Phishing: andamento 2013
Non categorizzatoCogliendo l’occasione della stesura del “Rapporto D3Lab 2013” sono state effettuate valutazioni statistiche sull’andamento degli attacchi di phishing rilevati da D3Lab.
E’ doveroso sottolineare che conteggiare gli attacchi di phishing non è semplice per svariati motivi:
Ci si può quindi rendere conto quale sia la difficoltà di eseguire un monitoraggio su un insieme di informazioni …fluido.
D3Lab ha optato per il conteggio degli url unici di attacco:
D3Lab non ha la pretesa di aver individuato il miglior sistema di conteggio di tale tipologia di incidente, tuttavia utilizzando stabilmente il medesimo metro di valutazione si riesce a ottenere un’indicazione attendibile dell’andamento dell’attività criminale.
Lo sviluppo ed il miglioramento di strumenti e procedure ad hoc ha permesso a D3Lab, nell’anno 2013, di vagliare oltre 15.000 messaggi di posta elettronica e 500.000 segnalazioni derivanti dai data base on-line.
In tal modo D3Lab è riuscita nell’anno 2013 ad esaminare oltre 4200 casi, con un incremento rispetto al primo quadrimestre 2012 di oltre il 600 %. L’incremento dei casi monitorati non è dovuto unicamente alle migliorate capacità ed al solo incremento del fenomeno criminale in panorama Italiano, ma anche all’attenzione riposta dal settembre 2013 nei confronti di enti stranieri, nei cui confronti D3Lab ha cominciato ad attuare un attento monitoraggio con conseguente analisi e ricerca.
La tabella nel seguito riportata rappresenta l’andamento degli attacchi di phishing rilevato a danno dei vari enti. I dati numerici sono quelli pubblicati nel gennaio 2013 (Phishing: chiusura 2012 e previsioni 2013) e relativi ai casi rilevati nell’anno 2012. Sulla base degli stessi si è deciso di dare solo un indicazione dell’andamento per i periodi a seguire, senza riportare valutazioni numeriche che potrebbero essere fuorvianti dal momento che in parte il lievitare del numero di url fraudolenti rilevati a danno di specifici enti può certamente essere dovuto ad un incremento delle capacità di monitoraggio ed identificazione degli attacchi da parte di D3Lab.
La freccia verso il basso ↘ indica ovviamente un calo degli attacchi, mentre quella verso l’alto ↗ indica un aumento. Si è cercato di dare risalto all’andamento di quanto rilevato con l’uso di colori, dove lo sfondo delle celle di colore:
La colonna relativa all’anno in corso (2014) prende in considerazione questo primo trimestre. In tal caso il colore rosso indica la presenza di attacchi. Non si è voluto fare una valutazione statistica su base trimestrale, preferendo lasciare alla freccia verso l’alto ↗ il compito di evidenziare quei casi nei quali i rilievi hanno già portato all’identificazione di url malevoli in numero superiore a quelli rilevati l’anno precedente.
Si può notare come per alcuni enti siano stati individuati attacchi sporadici destinati a non ripetersi nei periodi seguenti e come, in altri casi, enti precedentemente non colpiti dal fenomeno, o con un calo di attenzione da parte dei criminali, siano tornati invece a rappresentare un target in questi primi 90 giorni del 2014.
Va notato il ripetersi di attacchi ad enti non bancari, quali le maggiori compagnie di telecomunicazione, i portali di prenotazioni alberghiere Venere ed Expedia e di giochi e scommesse on-line SNAI ed Eurobet.it.
Nel 2013 si è confermato il calo di interesse verso l’home banking a favore delle carte di credito, con un incremento di attacchi a danno di Visa e Lottomatica, a fronte di un calo di quelli a danno di Carta Sì, per la quale tuttavia si è rilevata una forte inversione di tendenza nel trimestre in corso, come sta avvenendo anche per gli utenti delle carte emesse da Banche di Credito Cooperativo.
Con la fine del 2013 si è presentato sul panorama italiano l’attacco portato a mezzo SMS. Di pe se questo non rappresenta una novità, nulla di innovativo, tuttavia, operando sul phishing dal 2009 D3Lab non lo aveva mai rilevato. Nel caso specifico gli attacchi sono stati mirati a colpire i clienti della catena di grande distribuzione Carrefour (Continua il phishing Carrefour via SMS), ripetendosi nel 2014 anche a danno di Poste Italiane. L’analisi di tale tipologia di attacchi è stata per D3Lab lo spunto di riflessione che ha portato a rilasciare, il 13 Gennaio, scorso il “Phishing via SMS report“.
Il monitoraggio a livello internazionale si è focalizzato, dal primo Settembre 2013, principalmente su enti europei, evidenziando un forte interesse dei criminali dediti al phishing per gli utenti di lingua tedesca
con diversi enti tedeschi ed austriaci nel mirino dei criminali, con le tedesche Sparkasse e Post Bank che nell’arco del terzo quadrimestre in esame hanno surclassato in termini di url malevoli a loro danno quasi tutti gli enti italiani.
Gli utenti del web di lingua francese hanno cominciato ad essere fortemente colpiti dal phishing nel secondo semestre 2012, quando iniziò una consistente campagna di attacchi a danno degli utenti di Carrefour Banque (Phishing Carrefour Banque), poi cessata nelle prime settimane del 2013, e di EDF fornitore di energia elettrica francese, ai cui utenti veniva proposto dai criminali l’addebito della bolletta su carta di credito.
Nel 2013 si è assistito ad un allargarsi del numero di enti colpiti, con attacchi all’ente deputato all’erogazione degli assegni famigliari (Caisse Nationale des Allocations Familiales), alla Banque Postale e all’operatore di telefonia mobile SFR.
Gli utenti britannici non sfuggono all’attenzione dei phisher, con attacchi mirati principalmente agli accounts customer degli operatori di telefonia mobile ed a Tesco Bank (Tesco Bank phishing)
A livello extra europeo si è rilevato oltre ad elavato phishing per quei provider di servizi internazionali quali PayPal, FedEx, Western Union, Google, Yahoo, Facebook, Twitter, ecc.., anche un elevatissimo numero di attacchi ai clienti/utenti di enti sud americani, con la novità di sporadici attacchi mirati a istituti bancari per utenti di lingua araba ed ad una crescente campagna di phishing volta a colpire utenti asiatici. In tale contesto i rilievi D3Lab hanno evidenziato un elevato interesse dei criminali verso gli utenti di istituti bancari indiani, con phishing “multimarca”, e malesi con ripetuti attacchi da parte delle medesime entità criminali a Hon Leong Bank, MayBank2u ed RHB Now.
L’analisi dei dati raccolti nel terzo quadrimestre 2013 ha evidenziato un preoccupante interesse dei criminali verso i clienti degli operatori delle telecomunicazioni.
Nel panorama italiano la semplice analisi del grafico sopra riportato sembrerebbe evidenziare un andamento assolutamente preoccupante a causa del picco di url malevoli rilevato nel mese di dicembre. In realtà ciò fu dovuto alla compromissione di un unico host di un provider francese, che permise ai phisher di inserire nello spazio web dei molti domini ivi presenti innumerevoli cloni a danno dei principali operatori di telefonia mobile italiani e di SNAI. Data la dimensione delle campagna di phishing, ad opera del medesimo gruppo, che ne conseguì è abbastanza probabile che il provider abbia ricevuto segnalazioni di quanto stava accadendo. Ciononostante i criminali ebbero la possibilità di mantenere i propri cloni sull’host compromesso per quasi un mese.
A livello europeo l’interesse dei criminali per i criminali dei provider di telecomunicazioni fu confermato dai dati raccolti. Risulto tuttavia esservi una grande differenza tra il phishing volto a colpire gli utenti delle società britanniche e gli altri. Mentre nel resto d’Europa i criminali richiedevano alle vittime direttamente i dati delle carte di credito, in UK (e per quanto riguardala sola T-Mobile anche in Germania ed Ungheria) venivano richiesti solo i dati di accesso all’account cliente.
Il recupero di kit di phishing, avvenuto in un buon numero di casi, ha evidenziato, unitamente all’identificazione di differenti modalità operative, come non vi sia apparente commistione e comunione di risorse tra le entità criminali impegnate a frodare gli utenti dei diversi paesi.
Venendo alle modalità attuative si è notato un sempre pesante coinvolgimento dei siti web basati su Joomla e WordPress, probabilmente dovuto alla loro diffusione. I criminali accedono allo spazio web altrui non solo attraverso vulnerabilità dei CMS in uso, ma anche conquistando le credenziali dei pannelli di gestione dei domini.
Nell’arco dell’anno 2013 la maggior parte degli attacchi è stata portata attraverso link diretti e allegati alle mail. Con la fine dell’anno si è denotata una tendenza in aumento, confermatasi nel trimestre corrente, dell’uso di allegati con tag IFRAME, i cui url sorgenti sono spesso mascherati con l’uso di short url e redirect.
L’invio delle credenziali avviene sempre attraverso la gestione dei dati inviati dal form ad un file php che:
I criminali in un numero crescente di casi fanno uso dell’indirizzo email del destinatario inserendolo nell’url proposto nella mail e di fake subdomain gestiti attraverso i pannelli gestione dominio o attraverso file htaccess.
Conclusioni: il phishing, per quanto considerato dai più una minaccia poco meritevole di attenzioni, miete ancora un elevato numero di vittime. La diffusione di tablet e smartphone, spesso in mano a utenti con una bassa competenza informatica, ha molto ampliato il bacino di pesca dei phisher.
Di contro l’assenza di una normativa internazionale e di una collaborazione tra le forze inquirenti dei vari paesi, così come avviene invece a contrasto delle pedofilia, lascia campo aperto ai criminali che, adottando precauzioni minimali, riescono a sortire effetti devastanti operando con basso livello di rischio.
In tale ottica il dotarsi di un servizio di monitoraggio e contrasto al phishing, come quello erogato da D3Lab, può essere per le aziende una valido strumento di tutela della propria immagine e dei propri clienti.
D3Lab persegue attraverso questo blog l’obbiettivo di fare informazione ed allertare gli utenti sulle minacce rilevate in tema di phishing. Non vengono riportati tutti gli attacchi individuati, ma unicamente quelli che si presentano quali novità, verificandosi a grande distanza di tempo dai precedenti, o perché introducono elementi innovativi, quali nuovi temi grafici o diverse metodiche di attacco.
Chiunque voglia supportare l’azione di ricerca di D3Lab può farlo inoltrando il phishing ricevuto o allegando i sorgenti delle mail fraudolente all’indirizzo di posta elettronica [email protected].