Dallo scorso marzo i cyber criminali si sono interessati agli albergatori iscritti ai portali di prenotazione alberghiera, realizzando tentativi di frode a danno degli utenti di Venere.com con oltre 20 pagine fraudolente finalizzate alla catture di user name e password, sia attraverso file html allegati alle mail di attacco, sia con pagine clone posizionate in siti violati o domini registrati ad hoc.

In data odierna è stato rilevato un tentativo di phishing a danno degli albergatori iscritti al portale Expidia, partner di Venere.com

il cui testo 

———————————————————————

Gentile albergatore,

Grazie alla migrazione a EPC potrà contare su un’ampia gamma di vantaggi, inclusi piani tariffari, avanzate funzionalità di marketing e semplici opzioni di supporto, come assistenza clienti e contabilità. La procedura di migrazione a EPC per il suo hotel è stata avviata. Per approfittare al meglio delle opportunità disponibili per la sua struttura, clicchi sulle tabelle sovrastanti per ingrandire ciascuna sezione e verificare/completare le informazioni necessarie sul suo hotel.

La migrazione del suo hotel a EPC avverrà tra 3 giorni, data della migrazione: 25 dicembre 2013.

Per ricevere le notifiche relative a prenotazioni e cancellazioni via fax, fare clic qui.

———————————————————————

cela sotto la dicitura “fare clic qui” il collegamento ipertestuale alla pagina fraudolenta, inoculata in un sito web thailandese,

riproducente i loghi Expedia, nella quale sono richiesti user name e password, inseriti i quali si viene riportati alle pagina legittime del sito Expedia.

D3Lab ipotizza che l’accesso all’account albergatori permetta di leggere le credenziali delle carte di credito su cui le società accreditano all’albergatore la sua percentuale di quanto pagato da chi effettua la penotazione.

Il passare del tempo sta evidenziando in modo sempre più lampante come il phishing non sia destinato a finire, ma solo a trasformarsi. I criminali con un minimo di fantasia possono portare le truffe, attraverso l’ingegneria sociale, verso gli utenti di tutti quei servizi per i quali sia un minimo plausibile la richiesta di dati personali o bancari/finanziari.

Negli ultimi mesi si sta assistendo ad un attacco sempre più massiccio verso enti non bancari, dai supermercati ai fornitori di energia, alle telco, ai portali di giochi e scommesse on-line.

Proprio sulle scommesse on-line tornano a colpire i criminali, dopo aver già rivolto in passato l’attenzione a Gioco Digitale ed Eurobet, mirando agli utenti del portale SNAI con un attacco dal sapore classico.

Il messaggio di posta fraudolento, partito da un indirizzo IP tedesco, presenta le seguenti caratteristiche:

Mittente visualizzato: Assistenza clienti

Oggetto: ЅNАІ: Տі рrеga ԁi segսіre lе iѕtruzіօոi ոеlle еmaіl. clіеոto: 139367252

Testo del messaggio:

———————————————————————————————————–

A causa della recente perdita di dati, la società SNAI si chiede di accedere subito al sito e controllare il saldo del conto. 

Registrati ora

———————————————————————————————————–

dove “Registrati ora” cela il collagamento ipertestuale che conduce l’utente a visitare la pagina clone, posizionata su un server

della francese OVH usato sin dal 13 Dicembre per portare numerosi attacchi ai maggiori operatori di telefonia mobile italiani.

La pagina fraudolenta ha il solo scopo di catturare le credenziali di accesso all’account, visualizzando al loro inserimento un pop-up

di ringraziamento, redirigendo quindi al legittimo sito SNAI.

L’approssimarsi del week-end ha visto tornare all’opera i criminali interessati a colpire gli utenti di Telecom Italia, nel caso specifico del servizio Alice.

In questo caso si è di fronte ad un tentativo di phishing di vecchio stampo, la “consegna” dei dati da parte delle vittime non è infatti veicolata attraverso l’uso di pagine web fraudolente, ma attraverso la risposta allo stesso messaggio di posta elettronica di attacco.

La mail che, come nel caso della scorsa settimana, è partita da un indirizzo IP britannico, presenta le seguenti caratteristiche:

Mittente visualizzato: “TELECOM ITALIA” <[email protected]>

Oggetto: **Security Alert** Verify Your Account

testo del messaggio:

———————————————————————————-

Titolare del conto Alice.it attenzione

Questo messaggio è da Alice Account Management Center.

Abbiamo notato attività sospetta nel tuo account su 13/12/2013. Per la tua protezione, è necessario verificare il tuo account in modo da continuare ad usare correttamente il tuo indirizzo email.

Per evitare interruzioni del servizio o possibile disattivazione del proprio account e-mail, è necessario fornire le informazioni richieste di seguito.

Nome:

Data di nascita:

Indirizzo email:

Password:

Conferma Password:

L’inosservanza di questa email porterà a deleating il tuo indirizzo e-mail dalla nostra database di posta elettronica.

Grazie per la vostra comprensione, vi auguriamo una piacevole giornata in avanti.

L’Alice team di supporto tecnico,

Rete webmail account Management Center.

                              ©2013 Telecom Italia, Inc. all rights reserved.

———————————————————————————-

Rispondendo alla mail si inviano le credenziali ad un indirizzo mail di gmail.

I cyber criminali con l’approssimarsi del week-end, esattamente come avvenuto la settimana scorsa (Phishing Telecom [29/11/2013]), nella giornata di Venerdì 6 Dicembre sono tornati a colpire gli utenti di Telecom Italia, nel caso specifico mirando agli account delle imprese facenti uso del servizio “impresa Semplice”.

Il messaggio di posta fraudolento, partito da un indirizzo IP britannico, presenta le seguenti caratteristiche:

Mittente visualizzato: Impresa Semplice di Telecom Italia <[email protected]>

Oggetto: Aggiorna la tua mail Impresa Semplice di Telecom Italia

Testo della mail  (html):

—————————————————————————————————————————————-

E’ necessario verificare la tua email Clicca qui per verificare

—————————————————————————————————————————————-

Il link porta ad una singola pagina web, riproducente i loghi di Telecom Italia e Tim, inserita in un sito belga basato su WordPress.

Una volta inseriti i dati l’utente viene riportato sulle pagine web nel corretto dominio Telecom Italia.

Nella giornata di ieri mercoledì 27 Novembre 2013, D3Lab ha rilevato un attacco di phishing, al momento (09:30 del 28/11/2013) ancora attivo, a danno degli utenti di Banca Popolare di MIlano.
Il tentativo di frode, come sempre più spesso sta avvenendo, non mira tanto a carpire i dati dell’home banking, quanto quelli della carta di credito e della mail box degli utenti.

La mail di attacco, che appare essere stata inviata attraverso uno script php inoculato in un sito web spagnolo, presenta le seguenti caratteristiche:

Mittente visualizzato: Banca Popolare di Milano <[email protected]>

Oggetto: Avviso importante da BPM Banking

Testo della mail (html):

————————————————————————————————————

Gentile Cliente,

Il tuo account è stato posto sulle restrizioni speciali a causa di recenti operazioni.

Si prega di visitare il link sottostante per confermare la tua identità e per riconquistare il suo valore e l’accesso al tuo profilo bancario.

https://www.bpmbanking.it/pub/xbank/home.do

L’impossibilità di eseguire questo passaggio comporterà la sospensione permanente del tuo account.

Cordialmente,

Banca Popolare di Milano Società Cooperativa a r.l.

P.IVA 00715120150 – Gruppo Bipiemme

————————————————————————————————————

Il collegamento ipertestuale nasconde il link a

http://bpmbanking.it-pub-xbank-home.do.0af7806a38a1ba9d9cbac36ad9aeda70e1c.0d0146638fd6ae870e1c044a751271270af789147127011.[break] 0af7806a38a1ba9d9cbac36ad9aeda70e1c638fd6ae870e1c044a75.sysbanknet.com/Bpmbanking/d/fb6e1d4757d56e73d885e11baa1c9c40/main.php

le pagine di phishing si trovano quindi nella directory fb6e1d4757d56e73d885e11baa1c9c40/ tuttavia copia delle stesse è individuabile in Bpmbanking/

La prima pagina mira a catturare i dati di accesso all’home banking,

trasmettendoli attraverso il metodo GET, codificati in base64,

alla pagina successiva dove, come mostrato dall’immagine sottostante, vengono richiesti dati personali, della carta di credito e di accesso alla casella di posta elettronica.

Il dominio utilizzato risulta registrato nell’aprile 2011 a nome di una società spagnola, tuttavia non risultano essere presenti pagine od informazioni.

E’ interessante notare come usando, non è dato sapere se volutamente, negli header della mail un indirizzo non appartenente a Banca Popolare di Milano

Reply-To: [email protected]

i phisher evitano di far giungere all’istituto le notifiche di mancato recapito per la mail inviate ad indirizzi inesistenti, situazione che dovrebbe/potrebbe generare nell’ufficio preposto i necessari warning proprio inerenti il possibile spread dell’attacco.