Il primo semestre 2013 si conclude confermando il phishing quale minaccia sempre attuale!

Nei primi sei mesi dell’anno D3Lab ha rilevato 1247 differenti url fraudolente di attacco. In più di un caso tali url sono state riutilizzate più volte consecutivamente, anche a distanza di diversi mesi.

Incredibilmente alcuni file fraudolenti, in particolare i file php inoculati in host remoti ed usati dai criminali per la gestione delle credenziali inserite nei file htm/html allegati alle mail di attacco, sopravvivono per settimane, addirittura mesi.
L’utente non visualizzando il file remoto non ne segnala l’esistenza ed una carente analisi dell’attacco non porta alla sua eliminazione.

Il confronto degli attacchi portati ai vari enti nei semestri 2012 e nel semestre appena conclusosi conferma Poste Italiane quale ente maggiormente attenzionato dai criminali, sempre interessati alla “conquista” dei dati degli account Poste Pay, mentre Carta Si, che lo scorso anno si era ritagliata il secondo posto nell’interesse delle organizzazioni criminali, può vantare una forte contrazione di attacchi in questi primi sei mesi.

Anche Banca Popolare dell’Emilia Romagna ed Unicredit hanno avuto un sostanzioso calo nei tentativi di frode ai loro clienti, al contrario di Lottomatica, la cui card si è rivelata ancora un obbiettivo di deciso interesse per le organizzazioni malavitose, nonostante il calo del secondo semestre 2012.

Il cyber crime ha confermato il proprio interesse per PayPal, probabilmente l’ente più colpito a livello mondiale (monitorato da D3Lab solo relativamente ai tentativi di frode in lingua italiana), così come per Intesa San Paolo, Eni/Agip, Vodafone e Wind.

Il semestre appena conclusosi ha mostrato un forte interesse dei criminali per le società non bancarie, eroganti servizi per i quali sono plausibili offerte attraverso le quali le organizzazioni criminali mirano ai codici di carta di credito degli utenti.

Delle nuove new entry meritevoli di citazione solo Deutsche Bank è ..appunto una banca, mentre per quanto riguarda Venere.com/Expedia, Eurobet e TIM i criminali mirano alle carte di credito, chiedendo direttamente le credenziali o tentando di conquistare l’accesso agli account da cui recuperare tali dati.

Analizzando le modalità di attacco, sia su base quadrimestrale

che semestrale

si assiste ad un incremento degli attacchi con link diretto a sfavore di quelli con redirect, in decisa flessione, e con form. Per questi ultimi è quasi scomparso l’uso di allegati mht, precedentemente rappresentanti una minoranza.
La forte riduzione di questi ultimi e in parte da imputarsi al crollo dei tentativi di frode a Carta Si, avendo rappresentato nell’anno passato la metodica maggiormente usata nei tentativi di frode agli utenti di tale card.

Dal punto di vista operativo si sono rilevati alcuni aspetti di particolare interesse:

1- l’aumento di dominio creati ad hoc, talvolta con l’acquisto dei certificati ssl al fine di rendere maggiormente ingannevole la frode;

2- l’utilizzo di svariate metodiche al fine di ovviare ai meccanismi di black listing attraverso complessi meccanismi con innumerevoli redirect gestiti da script,

con la creazione di path finali aventi nomi univoci,

o con l’uso di file htaccess che consentono di avere diversi path/url di attacco puntanti alla medesima struttura.

3- l’inserimento di phishing nidificati a cui l’utente approda in base al gestore della carta di credito da lui posseduta e di cui ha inserito incautamente i dati.

D3Lab coglie l’occasione per sfatare due luoghi comuni:

• il phishing miete molte vittime, basta leggere i file nei quali i criminali scrivono talvolta le credenziali catturate, per rendersene conto;
• non è affatto vero che tutto avviene dall’estero, che non vi sia il coinvolgimento di soggetti italiani. I cyber criminali per fare cash out necessitano anche di operatori in Italia, sono loro necessari per attivare conti e account e studiare la struttura da colpire. Ma non solo, il monitoraggio costante consente di rilevare l’utilizzo di server, domini creati ad hoc, indirizzi ip e caselle di posta elettronica con domini .IT o comunque residenti su territorio nazionale, sui quali forze di polizia e magistratura hanno giurisdizione.

Il contrasto e l’azione investigativa sono possibili e D3Lab è sempre disponibile, sia verso le aziende, sia verso le forze dell’ordine e della magistratura.

D3Lab ha avuto il piacere di essere chiamata a partecipare all’edizione 2013 del Cyber Defence Symposium organizzato dalla Scuola Telecomunicazioni delle Forze Armate.

L’evento svoltosi nella splendida cornice di Sestri Levante nelle giornate del 16 e 17 Maggio ha visto la partecipazione di numerosi ospiti, con interventi volti a proporre soluzioni commerciali ed interventi divulgativi/formativi di altissimo livello, con relatori di grande professionalità e competenza quali Giuseppe Dezzani, Paolo Dal Checco e Mattia Epifani per la digital forensics, la dottoressa Francesca Bosco, ricercatrice dell’UNICRI in ambito crime e cyber crime, il dott. Stefano Mele profondo conoscitore degli scenari e strategie internazionali legati alla cyber war, nonché rappresentanti delle forze armate, dagli ufficiali di collegamento presso i comandi internazionali NATO a Talin, dedicati proprio ad affrontare le problematiche cyber dei presenti e futuri conflitti, ai quadri responsabili degli assetti TLC, che consci delle problematiche nascenti stanno sviluppando in proprio soluzioni ed assetti con i quali affrontarle, come i reparti dell’Aeronautica Militare.

Non sono mancati gli interventi relativi a tematiche legali e normative, come quello del Dr. Giuseppe Corasaniti della Procura Generale presso la Corte di Cassazione.

D3Lab ha partecipato trattando con approccio pratico le tematiche della digital forensics sul campo di battaglia e della cyber war.

Il Cyber Defence Symposium organizzato dalla Scuola Telecomunicazioni delle Forze Armate è un evento importante, che è bene si continui a ripetere in futuro, rappresentando la presa di coscienza da parte della Difesa della problematica da tempo esistente legate alle minacce presenti in rete.

Il 20 Febbraio scorso D3Lab ha festeggiato il primo anno di completa operatività!

Si è trattato di un anno intenso che ha visto l’azienda crescere, trovare nuovi consensi e clienti, migliorare i propri servizi. L’impegnativa attività è stata condensata nelle 17 pagine del Rapporto D3Lab 2012, un documento in cui si analizza quanto fatto e rilevato nel 2012 e nel primo bimestre 2013, con particolare riguardo e dettaglio al phishing.

Il documento, pensato per società ed aziende interessate ai servizi proposti da D3Lab e per il law enforcement nazionale, non è disponibile in download ma ne deve essere fatta richiesta via mail aziendale scrivendo a [email protected].

Indice contenuti

Pagina 6

pagina 8

pagina 10

Il phishing è molto una questione di fantasia.

La dimostrazione la si può trarre da questo tentativo di frode a danno dei clienti neo zelandesi della catena di fast food Mc Donald’s, individuato analizzando il phishing internazionale.

Il destinatario del messaggio di posta seguendo il link proposto nella mail giunge ad una pagina web, posizionata su server rumeno.

L’inganno si basa sulla “promessa” di un premio di 90$ quale ringraziamento per la partecipazione ad un sondaggio relativo all’apprezzamento ed alla soddisfazione per il servizio offerto da Mc Donald’s.

Dopo aver risposto alle domande ed aver premuto il pulsante “Proceed” si viene portati sulla seconda pagina dove sono richiesti dati personali (indirizzo, numeri di telefono, numero della patente) ed i dati della carta di credito.

Questo semplice caso evidenzia come un criminale fantasioso possa preparare la propria frode contro utenti/clienti dei più svariati enti e servizi, è solo necessaria la fantasia per giustificare agli occhi del destinatario la richiesta dei dati sensibili di interesse.

Non sottovalutate la minaccia del phishing e la fantasia dei criminali.