Nell’anno ormai al termine i criminali hanno posto la loro attenzione su enti precedentemente poco o per nulla colpiti dal phishig, come Veneto Banca e Banca delle Marche.

Nel caso degli enti citati ci si può ritenere fortunati che i criminali non abbiano confezionato le mail di attacco facendo leva sulle problematiche ormai note a tutti di tali istituti. Si può immaginare con facilità quale sarebbe stato il grado di allerta ed ansia provocato da false comunicazione che, paventando l’utilizzo dei conti correnti dei risparmiatori per ripianare i debiti degli istituti, avessero veicolato gli utenti verso pagine di phishing.

In altri casi i phisher sono tornati a colpire istituti di credito non aggrediti da diversi anni. Si è in definitiva assistito ad un anno  in cui a fronte di un netto calo dei tentativi di phishing si è avuto un incremento degli attacchi ad enti non bancari, in particolare gli operatori di telefonia mobile ed Apple, ed una migrazione da target ormai classici (Poste Italiane, PayPal, ecc…) verso target meno soggetti al fenomeno, i cui clienti ed utenti presentano quindi una minor scaltrezza e conoscenza della minaccia.

Si inserisce in tale contesto il tentativo di phishing rilevato nella serata di ieri a danno dei clienti dell’istituto di credito Banca Agricola Popolare di Ragusa:

Il messaggio di posta fraudolento presenta le seguenti caratteristiche:

Mittente apparente: <[email protected]>
Oggetto: EQUITALIA

testo:

————————————————————————————

EQUITALIA

Cartella esattoriale nr 96263/12 procedimento amministrativo sanzonatorio del 24/06/2012.

Qualora non abbia gia provveduto al pagamento la preghiamo di accedi la raccomandata nella sezione di sito autorizzato Banca Agricola Popolare di Ragusa.

ACCEDI DOCUMENTO

La ringrazioamo per la collaborazione.

Distinti saluti ,

EQUITALIA

————————————————————————————

Il link celato dalla dicitura “ACCEDI DOCUMENTO” porta ad una pagina php, che insieme ad altre 299 inserite in un sito web UK violato, ha la funzione di redirect e conduce i visitatori alle pagine clone inserite in un sito web romeno, dove all’utente sono richiesti i dati di login.

nella pagina successiva viene richiesto all‘utente di inserire il proprio numero di cellulare.

La mancata richiesta di ulteriori dati via web lascia ipotizzare che i criminali, dopo aver effettuato il login con i dati acquisiti e verificato l’effettivo ammontare di quanto presente sul conto, possano procedere perfezionando la frode via telefono, sfruttando i dati acquisiti dalle pagine del cliente.

I criminali tornano a colpire gli utenti Telepass a distanza di oltre tre anni (15/06/2012, 22/06/2012).

Nella giornata odierna è pervenuta nella mail box la seguente mail:

Oggetto: ТЕԼЕРАЅЅ FАМІԼҮ

Mittente apparente: “[email protected]” <[email protected]>

Testo del messaggio:

Salve [email protected],

TELEPASS FAMILY ti premia con 90 giorni gratuiti.

Novit�: per 90 giorni puoi viaggiare gratis, basta cliccare sul link promozione in basso e verificare la tua identit�.

Una volta ricevuta l’autorizzazione dalla tua Banca provvederemo ad inviare il codice sul tuo estratto conto col quale ti dovrai recare al primo PUNTO BLU e riscattare i tuoi 90 giorni gratuiti in Autostrade Italia

Prosegui con la verifica!

Come si può notare dall’immagine soprastante riproducente la mail, il messaggio è scritto in italiano corretto, mentre balzano agli occhi i caratteri accettati non correttamente codificati.

La dicitura “Prosegui con la verifica!” nasconde il collegamento ipertestuale alle pagine fraudolente. Nella prima vengono richiesti i dati 

della carta di credito (numero, scadenza e cvv), nella seconda pagina viene richiesto il securo code Visa/Mastercard.

L’attacco di phishing in questione è ad opera di un gruppo criminale particolarmente agguerrito, operante principalmente a danno degli operatori di telefonia mobile.

A conferma di ciò all’interno del sito web compromesso impiegato per pubblicare il clone Telepass è stato individuato anche un clone a danno dei clienti H3G.

Importante aggiornamento relativo ai casi di phishing TIM precedentemente trattati:

Lo scorso 29 Settembre avevamo pubblicato un post in cui evidenziavamo come per i phisher fosse possibile recuperare la frase segreta del Visa/Mastercard “secure code” (link).

I rilievi descritti nel post erano stati eseguiti proprio esaminando un tentativo di phishing ad opera dello stesso team criminale autore dei due casi descritti poc’anzi (link1 link2). L’esame svolto all’epoca evidenziò come la metodica di recupero della frase segreta fosse funzionante, ma non ancora implementata nel normale funzionamento del kit di phishing.

Poco fa eravamo impegnati nello svolgimento di ulteriori accertamenti finalizzati a comprendere il funzionamento dei kit. Questi test vengono svolti inserendo credenziali formalmente valide (nome, cognome, codice fiscali, numero di carta di credito valido secondo l’algoritmo di Luhn, cvv, ecc…) ma assolutamente inventate, o generate da script, come nel caso dei numeri di carta di credito.

In tal modo, anche se il caso ci portasse ad usare un numero di carta di credito realmente emessa, la combinazione di nome/cognome titolare, scadenza e cvv assolutamente casuali ne renderebbe l’uso fraudolento impossibile.

La sorpresa è giunta quando, inseriti i dati richiesti dalla pagina fraudolenta, è stata visualizzata una pagina web, con logo dell’ente emittente la carta di credito, in cui veniva richiesta la password del Visa/Mastercard secure code, ma …che riportava anche la “frase di benvenuto segreta” del “secure code”!

Evidentemente si era verificato “il fato” ed il numero di carta usato per il test  (abbinato a restanti dati assolutamente casuali e per tanto inutilizzabile) apparteneva ad una carta di credito esistente e il kit creato dai criminali è stato in grado di recuperare la frase identificativa segreta del Visa/Mastercard secure code.

La metodica, come scritto a settembre 2014, era stata sviluppata dai criminali, ma non ancora implementata. Ora invece lo è, con tutto ciò che ne consegue.

Ciò che nel panorama criminali ha dell’incredibile è la perseveranza e costanza di alcuni team criminali.

Il tentativo di phishing a danno degli utenti TIM di cui raccontiamo oggi, tristemente eseguito con successo, è stato messo in atto da un gruppo criminale attivo sin dal 2012, che nel tempo ha affinato i propri template e le proprie modalità operative, mantenendo tuttavia alcune caratteristiche costanti nel tempo. Nel suo “portfoglio” target il team criminale può annoverare Eni/Agip, Carrefour, Total Erg, ma la sua azione è in realtà stata molto più ampia, spesso incisiva, intensa e di “successo”.

 Venerdì 17 Aprile si è individuato un messaggio di posta fraudolento, partito da un host OVH britannico, presenta le seguenti caratteristiche:

From: “TIM PROMOTIONALS” <[email protected]>

Oggetto: resta connesso con noi 128101696

Corpo del messaggio (in base64):

Salve [email protected]

Benvenuto in Special Day ricarica e vinci. Se ricarichi il tuo telefonino TIM di 25€ entro oggi, ne avrai in omaggio altri 25 al mese per 3 mesi, per un totale di 75€ erogati. Visita ora la pagina dedicata all’offerta attraverso il link sottostante ed afferra al volo la promozione prima che finisca!

Aderisci ora!

Il link celato sotto “Aderisci ora!” portava ad uno short url del servizio bit.do che redirigeva su pagine clone inserite nel dominio timonlinepiu.com, creato ad hoc con nome attinente al target, in hosting presso Register.it.

La home page del sito/dominio presenta la pagina di default dell’hoster, mente il clone viene individuato in sub-directory con nome che viene variato nel tempo dai criminali, risultando comunque sempre raggiungibile caricando l’url 

hxxps://timonlinepiucom.serversicuro.it/tim/  (url malevolo)

La struttura del kit prevede un azione di filtro sugli indirizzi ip, affincheé solo i visitatori facenti uso di ip italiano visualizzino il clone.

Le pagine sono pubblicate in HTTPS attraverso serversicuro.it.

Nella giornata di sabato 18 Aprile lo short url risultava essere stato disabilitato, vi sono tuttavia evidenze che le pagine clone hanno continuato a ricevere visite, mietendo vittime, il che lascia presumere l’invio di ulteriori mail di attacco. 

E’ ipotizzabile che nei prossimi giorni/settimane gli attacchi inizino ad essere veicolati via sms come avvenuto in passato per Carrefour e TotalErg.

TIM è stata notiziata lo stesso venerdì 17.

Durante la notte abbiamo svolto alcune ricerche in rete in relazione all’attacco di phishing a danno di Total Erg rilevato nella serata di ieri 27 Novembre 2014, da cui è emersa l’esistenza di casi precedenti verificatisi già a fine ottobre.

Fabio Natalucci descrive in un articolo estremamente ben fatto, “Analisi di un caso di Phishing: SMS TotalErg acquisto buoni carburante“, un caso verificatosi nella seconda metà di ottobre, periodo al quale risale anche il comunicato stampa TotalErg “TotalErg nel mirino delle truffe online“.

Sembrerebbe tuttavia che la campagna di phishing sia in realtà stata avviata ben prima, come suggerirebbero indicare le date rilevate nei tag aggiunti dal programma di copia usato per clonare il sito TotalErg.

D3Lab opera prevalentemente in ambito phishing, inserita da tempo in un network di professionisti della sicurezza informatica e dell’analisi forense, diversi dei quali collaborano come segnalatori riportando i casi rilevati con tempestività. Nonostante ciò la campagna di attacco, attiva ormai da molte settimane è stata rilevata solo ieri sera. L’utilizzo degli SMS quali veicolo dell’attacco permette ai criminali di far passare l’aggressione molto sotto traccia.

Al momento l’articolo da più parti linkato rimane quello di Natalucci. Questo evidenzia come gli attacchi sarebbero totalmente passati sotto silenzio se uno di questi casi non fosse stato riportato ad un esperto della sicurezza ICT, che rilevandone la peculiarità e pericolosità lo ha analizzato e descritto.

TotalErg, da parte sua, ha evidenziato alla clientela l’esistenza della minaccia, cogliendo il doppio risultato di tutelare i clienti con un giusto avviso e, importantissimo, di innescare con gli stessi un’interazione, come mostrato nell’immagine sottostante,  utile a tracciare il nascere di nuovi siti cloni e l’identificazione dei numeri di telefonia mobile da cui gli SMS vengono inviati.

Come per altre campagne di phishing condotte via SMS invitiamo i lettori a trasmetterci attraverso i commenti a questo articolo informazioni relative a:

• sito web indicato nell’sms;
• numero di telefono mittente.

Tali informazioni, una volta validate dall’amministratore del blog, diverranno pubbliche consentendo a chi deputato al contrasto ed alla’azione investigativa di seguire l’evolversi della campagna di phishing.

D3Lab ringrazia per la collaborazione.