L’avvento dei dispositivi mobili porterà alla fine del fenomeno phishing?

L’analisi di alcuni dati estratti da file di log relativi a siti web coinvolti in recenti casi di phishing ai danni degli utenti di un ente 

italiano forniscono alcune informazioni interessanti. I due casi in esame hanno permesso di raccogliere informazioni relativa a 218 differenti visitatori delle pagine di phishing. Ipotizzando che nessuno di loro abbia utilizzato estensioni del browser atte a modificare lo user agent trasmesso dal browser al server e che quindi i dati sia corretti, si evidenzia, come riportato nella tabella sottostante,

come il 24,7 % sia giunto sulle pagine fraudolente facendo uso di dispositivi mobili, il 61,9 % abbia fatto uso di sistemi operativi Microsoft Windows, il 41,5 % dei quali datati, ed il restante 38,1 di sistemi operativi di derivazione Unix, rientrando tra di essi i dispositivi mobili.

Per il futuro ci si può aspettare un aumento dei dispositivi mobili, in considerazione del fatto che anche gli smartphone di recente produzione hanno display sufficientemente ampi da consentire una fruizione abbastanza comoda dei contenuti web.

Sebbene i browser di cui tali dispositivi sono dotati implementino i meccanismi di sicurezza atti ad avvisare l’utente della visualizzazione delle pagine web fraudolente, non sempre queste sono segnalate tempestivamente ed esiste, quindi, un intervallo temporale nel quale il criminale può perpetrare il proprio atto criminoso, traendo vantaggio anche dalle ridotte dimensioni del display.
Queste potrebbero non permettere all’utente di riconoscere correttamente il dominio visitato, dettaglio essenziale a cui porre attenzione se pensiamo che i criminali, pur di riuscire nella frode, sono disposti a spendere per un certificato SSL da abbinare a domini creati ad-hoc.
Certificato la cui presenza è invece evidenziata chiaramente nella barra degli indirizzi, distogliendo l’attenzione della vittima dal reale dominio visitato e mal visualizzato nel display di ridotte dimensioni del dispositivo mobile.  

I dati relativi ai sistemi operativi utilizzati lasciano poi il fianco a diverse considerazioni: da una parte esiste la possibilità che i criminali implementino le pagine di phishing con exploit volti a colpire browser e sistemi datati per inocularvi malware, metodica al momento poco diffusa, dall’altra il crescente numero di utilizzatori di dispositivi mobili, rappresentanti già quasi un quarto del totale, potrebbe portare le organizzazioni criminali ad investire maggiormente per lo sviluppo di applicazioni per tali dispositivi, da distribuirsi attraverso pagine e mail di phishing, o fatte tanto bene da riuscire a superare i controlli degli apps store. 

Da tempo si è rilevato un forte orientamento dei criminali verso le carte di credito, strumento di più facile abuso a seguito della sempre più diffusa adozione di strumenti di autenticazione forte.

In tal senso si è mosso anche il gruppo criminale identificato da più lungo tempo che nella giornata odierna ha rivolto le proprie attenzioni ai clienti di UBI Banca nel tentativo di carpire loro i dati delle carte di credito con l’invio di una mail fraudolenta contenente avente le seguenti caratteristiche:

Mittente visualizzato: non rilevato

Oggetto: Proteggi il tuo accounto UBI Banca.

Testo della mail:

———————————————————————————

Gentile Cliente,

Abbiamo rilevato attivita irregolari sul tuo UBI Internet banking sul conto 18/10/2013.

Per la tua protezione,  necessario verificare questo attivita prima di poter continuare a utilizzare il conto.

Si prega di scaricare il documento allegato alla presente e-mail a rivedere le attivita del proprio account.

Rivedremo l’attivita sul tuo conto con voi e alla verifica, e ci consentira di eliminare le restrizioni imposte alle il tuo account.

Se scegliete di ignorare la nostra richiesta, ci lasciano scelta ma di sospendere temporaly tuo account.

Se scegli di ignorare la nostra richiesta, ci lasciano scelta di sospendere temporaneamente il tuo account.

Ti chiediamo di consentire almeno 72 ore per il caso di essere indagato e si consiglia di verificare il tuo conto in quel momento.

Con i migliori saluti,

Roberto Baggio
Responsabile della comunicazione del Cliente

?Gruppo UBI Banca 2011 – P. I. 03053920165

———————————————————————————

contenente un allegato html che aperto in locale mostra a browser la pagina riprodotta dall’immagine sottostante

ed invia le credenziali, attraverso il tag form, ad un file php posizionato in sito web greco.

Anche in questo caso siamo di fronte ad un gruppo criminale che è stato possibile “profilare” sin dal 2009, responsabile nel corso degli anni di attacchi a moltissime casse di risparmio e banche regionali e provinciali, nonché degli attacchi di quest’ultimo anno a Poste,  Visa, Carta Si, Deutsche Bank, ecc..

Update:

Alle ore 11.49 la pagina fraudolenta che gestiva il form non è più raggiungibile.

Update Sabato 19 Ottobre 2013:

nella tarda serata di ieri, Venerdì 18/10/2013, il file è stato nuovamente caricato dai criminali, i quali sin dal 2009 utilizzano quasi sempre la medesima vulnerabilità per eseguire l’upload dei file.

In un momento tanto difficile per l’economia delle famiglie, attanagliate dal caro vita, dalle scadenze fiscali e dall’assenza di lavoro, i cyber criminali, dimostrandosi soggetti ad un livello sempre più abbietto, decidono di lucrare colpendo fasce sempre più ampie di popolazione con false offerte relative alla spesa di tutti i giorni.

D3Lab ha appena rilevato il nuovo tentativo di frode, ad opera di coloro che già si sono resi autori del phishing contro Agip/Eni e Carrefour. La mail fraudolenta, riportata nell’immagine sottostante, presenta le seguenti caratteristiche

Mittente visualizzato: “Ritira 50 euro in buoni supermercato” <[email protected]>

Oggetto: Richiedi il buono sconto di 50 euro a 5 euro !

Testo del messaggio:

————————————————————-

PAGANDO SOLO 5€,AVRAI DIRITTO A: – 50 EURO DA SPENDERE NEL SUPERMERCATO PIÙ VICINO A TE. VERRA’ RECAPITATO AL TUO INDIRIZZO DA UTILIZZARE PRESSO I SUPERMERCATI : AUCHAN – LD – LIDL – COOP – CONAD . CARREFOUR – DESPAR – IPER. SU UNA SPESA MINIMA DI 100 EURO NON CUMULABILI. http://www.buonisconti.tv/ Servizio offerto da: Europublic Srl Via Campo Rotondo n.14 00132 Roma RM P.Iva 01584760431 REA RM12998/57

————————————————————

La mail è partita da una rete locale, presumibilmente aziendale dato il range di indirizzi IP rilevabile dagli headers, per transitare su un server di posta britannico nelle prime ore della notte appena trascorsa.

Il link proposto porta effettivamente all’unica pagina del dominio buonisconti.tv, dove un frame trae la sua sorgente dall’url

http://www.buonsconto.com/Persolo5euro.html

Entrambi i domini sono di recentissima registrazione

la pagina web fraudolenta, riprodotta nell’immagine sottostante, propone al costo di soli 5 Euro l’adesione ad un offerta per la 

ricezione di un buono sconto da 50 Euro spendibile presso i supermercati Auchan, Carrefour, LD Market, Lidl, Despar, Coop, Conad e Iper. Cliccando sul pulsante procedi si viene portati ad una seconda pagina in cui vengono richiesti dati anagrafici

compilata la quale si prosegue verso la richiesta di dati della carta di credito e, nelle pagine successive dei relativi codici di verifica

I criminali hanno cercato di nascondere il proprio operato inserendo su buonosconto.com pagine di un sito di e-commerce fasullo, basta fare riferimento ai recapiti di contatto per rendersi conto della natura posticcia del sito, atta unicamente a trarre in inganno chi dovesse svolgere accertamenti superficiali.

Che gli autori di tale frode siano i medesimi che hanno colpito Agip/Eni e Carrefour Italia, lo si desume dal template delle pagine in cui vengono richiesti e verificati i dati anagrafici e quelli di carta di credito, dal modus operandi facente uso di domini registrati presso No-Ip e di frame, nonché dalle strutture dei siti fraudolenti, rilevabili dall’esame dei codici html. Se infatti osserviamo il link nascosto dal pulsante “Procedi” posto nella prima pagina rileviamo l’url seguente:

http://www.buonsconto.com/travel.eni.com/iveportal/cards/W155.PKG_RICONLINE.show_pageNL22.php

possiamo in esso notare la presenza delle stringhe travel.eni.com, iveportal, W155.PKG_RICONLINE.show_pageNL22.php

Abbiamo a che fare con criminali pigri, che pur di non riscrivere i collegamenti, i link, mantengono nomi di directory non attinenti alla frode stessa. 

Quanto accaduto nell’anno in corso dimostra come il phishing non sia una minaccia rivolta solo ai conti correnti ed agli istituti di credito. Con un minimo di fantasia i criminali possono riproporre attacchi di phishing motivandoli con offerte di spesa, carburante, rimborsi fiscali, pagamenti tasse e quant’altro una mente dalla fantasia vivace può inventarsi.

Nel caso specifico quale degli enti coinvolti (le diverse catene di iper e super mercati) sarà intenzionata ad intervenire attivando la propria struttura a contrasto della frode. Nessuna di esse trae un danno economico diretto e se vogliamo anche quello di immagine può considerarsi spalmabile tra tutti i diversi marchi. Questa tipologia di phishing rischia di mostrarsi efficace e duratura se le parti coinvolte non si riterranno tali ed eviteranno azioni dirette a contrasto del fenomeno.

Inevitabilmente, dopo Vodafone, Tim e Wind, è arrivato (o meglio tornato) anche il phishing a danno degli utenti H3G.

La mail fraudolenta, rilevata nel primo pomeriggio odierno, partita da un indirizzo ip britannico e giunta in più copie

ai medesimi indirizzi di posta transitando da server di posta canadesi, russi o brasiliani, presenta le seguenti caratteristiche:

Mittente visualizzato: 3 Italia <[email protected]>

Mittente visualizzato: 3 Italia <[email protected]>

Mittente visualizzato: 3 Italia <[email protected]>

Mittente visualizzato: “3 Italia” <[email protected]>

Mittente visualizzato: “3 Italia” <[email protected]>

Mittente visualizzato: “3 Italia” <[email protected]>

Oggetto: Offerta estiva da 3 Italia!

Oggetto: Offerta estiva da 3 telefonia mobile!

Testo del messaggio (codificato in base64):

———————————————————————————————————–

Solo da 3 Italia, la nuova offerta estiva: 1 = 2!
Basta seguire il link qui sotto, ricaricare il cellulare con
i 5 a 30 euro e si ha la garanzia di ricevere un bonus del 100%.

Ricarica ora!

Copyright © 3 – 2010 | H3G S.p.a. – P.IVA n. 13378520152

———————————————————————————————————–

Cliccando il link proposto dalla mail fraudolenta si viene portati su pagine web fraudolente inserite in un server web statunitense,

identificato dal solo indirizzo ip, su cui non risultano essere attivi domini. La prima pagina fraudolenta, riprendendo la truffa del bonus di pari valore della ricarica effettuata, richiede il numero di telefono da ricaricare ed i dati della carta di credito. La pagina successiva richiede il secure code di Visa/Mastercard, notare che non viene riportata la frase di sicurezza

che ogni utente dovrebbe aver scelto impostando il secure code e che dovrebbe essere riproposta all’atto della verifica, confermando la legittimità della richiesta dei dati della carta di credito. Consegnato anche l’ultimo codice ai criminali si viene riportati su pagine del legittimo sito web H3G.

Alcune caratteristiche attuative lasciano ipotizzare si tratti dei medesimi autori delle recenti frodi Agos Ducato.

jhu