Articoli di approfondimento sul Phishing Italiano e Internazionale con nozioni tecniche e metodi di prevenzione.

Lo scorso week end abbiamo rilevato la prima attività di Phishing ai danni di ENI Gas e Luce del 2018, l’attacco è stato diffuso tramite una eMail che prometteva un falso rimborso di 41,30euro a favore della vittima. Tale modalità è spesso usata per attività di Phishing ai danni di enti Energetici o Telefonici, la vittima attratta da questo rimborso viene invitata a compilare un modulo online con i dati della propria carta di credito, carta che verrà sfruttata per effettuare addebiti illeciti.

Il gruppo Eni non è certamente un nuovo target per i Phisher, nel 2012 rilevammo un dominio creato Ad-Hoc per fare phishing a loro danno. Pratica ad oggi molto consolidata ma raramente usata prima del 2015 in ambito Italiano.

 

Come sempre vi ricordiamo di fare massima attenzione alle eMail che ricevete ed evitare di fornire i dati della propria carta di credito a terzi.

Virgilio Mail è la piattaforma di WebMail offerta gratuitamente da Italiaonline S.p.A. ampiamente sfruttata da diversi utenti Italiani, i primi attacchi di Phishing a loro danno li abbiamo rilevati nel 2017 come vi abbiamo mostrato lo scorso settembre. Nel primo trimestre del 2018 abbiamo rilevato un trend decisamente in crescita a conferma che Virgilio è un target apprezzato dai Phisher.

Dal 1 Gennaio 2018 ad oggi abbiamo rilevato 13 nuove segnalazioni di Phishing nove di esse sfruttano domini appositamente creati per ingannare l’utente, ovvero:

  • virgilio-387246834310[.]com
  • virgilio-387246834312[.]com
  • virgilio-387246834313[.]com
  • virgilio-387246834314[.]com
  • virgilio-387246834315[.]com
  • virgilio34985794[.]com
  • virgilio34985795[.]com
  • virgilio34985796[.]com
  • virgilio34985798[.]com

La rilevazione di queste segnalazioni di Phishing è stata possibile grazie all’attività di Brand Monitor che svolgiamo per monitorare la registrazioni di nuovi dominii eventualmente sfruttabili per attività illecite come il Phishing, la diffusione di Malware, lo spear phishing e le frodi attraverso vendita o acquisto di servizi e prodotti.

L’intento del Phisher nelle segnalazioni ad oggi rilevate è di carpire le credenziali della eMail dell’utente. Invitiamo pertanto gli utenti a fare massima attenzione e controllare il sito web che si visita.

Hetzner is a very important web service provider in Europe, the first week of February 2018 we detected a Phishing attack to fraud their users.

Users were invited to confirm their access credentials to the “konsoleH” portal, a portal used to access webmail or managing Internet domains.

Once the credentials (eMail and password) were entered, the victim was asked for their personal data in addition to the credit card details.

In the last period Phishing attacks against Web Providers (OVH, Register, Serverplan, Keliweb, etc.) are definitely growing rapidly.

We always invite users to pay maximum attention. We conclude with a gallery of screenshots of phishing pages.

 

Subito.it è probabilmente il principale sito di compravendita tra privati in Italia, dall’analisi dei nuovi dominii registrati (Brand Monitor) che quotidianamente eseguiamo per contrastare e analizzare il Phishing ieri 1 Marzo 2018 abbiamo rilevato la registrazione di un dominio sospetto.

Monitorando costantemente il contenuto di tale dominio, inizialmente irraggiungibile, abbiamo individuato nella tarda serata di ieri sera la presenza di un kit di Phishing ai danni di Subito.it. La pagina fraudolenta, che vedete nello screenshot iniziale, richiede alla vittima le proprie credenziali (eMail e password) per accedere al portale di compravendita, digitate le quali l’utente viene poi indirizzato al sito ufficiale.

Subito.it ha da alcuni mesi introdotto la possibilità di visualizzare la storicità di un venditore, mostrando da quanto tempo è registrato e quanti annunci ha pubblicato, per prevenire le frodi sul portale e dare maggiore fiducia ad un possibile acquirente.

Il Phisher impossessandosi delle credenziali di un venditore storico potrebbe modificare gli annunci esistenti o crearne di nuovi e attuare una truffa verso possibili acquirenti, avvalendosi della fiducia che il compratore ha nei confronti di venditori con una ampia storicità di vendite.

D3Lab opera da diversi anni nell’analisi e nel contrasto del Phishing ai danni dei principali Istituti Bancari Italiani o Big Corporate, negli ultimi anni si è però maggiormente affermato il fenomeno dello Spear Phishing con una crescita nel 2017 di oltre il 1000% come sottolinea il ClusIT.

Spear Phishing: Indica un tipo particolare di phishing realizzato mediante l’invio di Email fraudolente ad una specifica organizzazione o persona. Lo scopo di questi attacchi è tipicamente quello di ottenere accesso ad informazioni riservate di tipo finanziario, a segreti industriali, di stato o militari. {CERT Nazionale}.

I phisher che adottano questa tecnica hanno una profonda conoscenza delle vittime e realizzano campagne di Phishing Ad hoc su servizi o applicazioni che la vittima usa quotidianamente.

Dalle immagini sovrastanti si può notare una campagna di Spear Phishing eseguita ai danni di una multinazionale che sfrutta per l’appunto i servizi di Microsoft Office 360 e DropBox, alcuni dipententi hanno ricevuto una eMail con un documento HTML allegato. Aprendo tale documento viene richiesta la conferma delle credenziali per accedere ai sopracitati servizi. Il phisher ha l’obiettivo di ottenere le credenziali degli utenti per poter accedere alle loro caselle mail e proseguire le attività illecite richiedendo per esempio bonifici bancari o eseguendo ordini verso altre società.

Il Team di D3Lab è intervenuto contrastando di questo fenomeno ottenendo la disabilitazione dei server Brasiliani e Australiani a cui venivano inviate le credenziali.

Carrefour Banca, succursale di Carrefour Banque in Italia, è un istituto di credito Italiano che subisce attività di Phishing dal 2013 con un andamento statistico non lineare. Nel 2013 rilevammo complessivamente dodici segnalazioni, nel 2014 undici segnalazioni, nel 2015 non abbiamo rilevato alcun attacco, infine nel 2016 e nel 2017 un solo attacco.

Per il 2018 invece stiamo rilevando un trend in crescita che porterebbe gli attacchi di Phishing nel 2018 superiori a quelli del 2013. Infatti nei primi 45 giorni del 2018 abbiamo già rilevato 3 attacchi di Phishing.

Attacchi di Phishing a danno di Carrefour Banca

 

L’utente viene invitato a confermare le proprie credenziali di accesso al Home Banking e successivamente a compilare le informazioni della propria carta di credito.

Infine viene richiesto l’inserimento del codice OTP ricevuto dalla vittima sul proprio cellulare per autorizzare l’addebito sulla carta di credito.

L’ultimo attacco di Phishing rilevato il 14 Febbraio coinvolge due distinti dominii web compromessi e sfrutta, per vanificare l’immediata efficacia delle BlackList, la generazione di directory casuali così che ogni visitatore visualizzi un URL diverso dai precedenti.

Come sempre invitiamo gli utenti a prestare la massima attenzione alle comunicazione via SMS o eMail che ricevono.

Register.it, parte di Dada Company, è un noto provider Italiano che offre dal 1999 i suo servizi nel mercato Italiano. Come abbiamo già avuto modo di mostrare nei precedenti articoli stiamo rilevando, dall’ultimo trimestre del 2017, un notevole incremento di attività di Phishing ai danni di Web provider Europei.

Tutte le attività di Phishing si accomunano nella richiesta di credenziali (username, email e password) per ottenere l’accesso ai pannelli di amministrazione dei dominii web o alle webmail ed infine alla regolarizzazione di un falso problema di fatturazione tramite l’inserimento dei dati della propria carta di credito.

Register.it, come potete vedere nel grafico seguente, ha subito attacchi di Phishing di modesta entità nel 2015 e 2017 ma nei primi 45 giorni del 2018 abbiamo già rilevato otto segnalazioni, un trend decisamente in crescita che potrebbe vedere il 2018 concludersi con oltre sessanta attacchi.

 

Di seguito trovate una galleria di screenshot di un kit di Phishing sfruttato ai danni di Register, come anticipato inizialmente alla vittima viene richiesto di regolarizzare un problema di fatturazione tramite l’inserimento dei dati della propria carta di credito. Successivamente il phisher richiedere per ben due volte il codice OTP della vittima, ovvero il codice che l’utente riceve tramite SMS o visualizza nel proprio token fisico. Questo codice permette ai malviventi di eseguire addebiti sulla carta di credito della vittima.

Uno dei servizi offerti da D3lab e’ quello di Brand Monitor, che effettua il monitoraggio giornaliero della registrazione di nuovi domini.

Si tratta, in molti casi, di nuovi domini con nomi molto simili a quelli dei siti legittimi con lo scopo di confondere, ad esempio, gli utenti di Home Banking per fargli credere di essere sul reale sito della banca ed mette in atto frodi.

I nomi di dominio comprendono in tutto o in parte il nome dell’ente da colpire spesso in unione ad altri termini leciti.

Oltre ai casi di banche italiane prese di mira dai phishers, e’ particolare notare il grande numero di nuovi domini ad-hoc rilevati giornalmente e che riguardano banche ma anche enti governativi francesi.

E’ probabile che una delle ragioni di questo interessamento dei phishers per la Francia sia dovuto alla grande diffusione in questa nazione di servizi internet tra cui l’Internet Banking.

Come si vede dal grafico, l’utilizzo nel 2017 di servizi Internet Banking in Francia e’ piu’ del doppio di quello italiano e di conseguenza anche il numero di potenziali utenti coinvolti in possibili attacchi di phishing risulta elevato.

In dettaglio possiamo vedere che nel mese di gennaio 2018 D3Lab ha rilevato numerosi nuovi domini ad-hoc relativi a diverse banche francesi tra cui

ma anche un grande numero di nuovi domini creati per colpire enti governativi tra cui

In ogni caso bisogna ricordare che per la maggior parte, non si tratta di phishing attivo ma di domini che se visualizzati nel browser mostrano messaggi di vario genere (dominio parcheggiato, sito in costruzione ecc….) in attesa di venire attivati in seguito dal phisher

ed anche

oppure

Nel momento in cui il clone viene poi attivato le pagine di phishing potrebbero essere inserite in directory accessibili solo attraverso il link di attacco presente nella email fraudolenta, mentre la home page del sito continuerebbe a presentarsi con il modello di default/parcheggio.

Una analisi del whois per i nuovi dom. FR rilevati, propone in buona parte nomi di registrant francesi

e spesso, un reverse whois, mostra che il registrant ha registrato piu’ di un nuovo dominio, sempre relativo a banche francesi

mentre sono utilizzati in molti casi anche i servizi di ‘privacy’ per nascondere i dati relativi al registrant.

Dalla fine del 2017 ad oggi abbiamo rilevato un incremento notevole di tentativi di frode a danno di Amazon Italia attraverso l’invio di messaggi di posta elettronica fraudolenta.

Solo nell’ultima settimana di Dicembre D3Lab ha rilevato più di un centinaio di mail fraudolente.

Dai screenshot delle eMail sottostanti potete notare come la grafica e il contenuto delle eMail varia invitando la vittima ad effettuare il login per evitare la sospensione del proprio conto, per verificare l’accumulo di punti con la possibilità di vincere i biglietti per il Gran Premio di Monza o per una informativa sulla privacy.

Questo slideshow richiede JavaScript.

Il collegamento ipertestuale presente nella mail svolge funzione di redirect portando i visitatori su una pagina clone richiedente le credenziali di accesso al portale e successivamente in una nuova pagina richiedente i dati della carta di credito:

 

La procedura si completa indirizzando l’utente sulla pagina ufficiale di Amazon Italia.

Complessivamente l’utente è invitato a fornire al Phisher:

  • Nome e Cognome;
  • Account Amazon;
  • Numero di Telefono;
  • Codice Fiscale;
  • Carta di Credito (PAN, CV2 e Scadenza).

Analizzando l’attacco di Phishing del 31 Dicembre 2017, attualmente ancora attivo, abbiamo individuato la posizione in cui i Phisher memorizzando i numeri di telefono delle vittime e monitorando tale risorsa ad oggi sono presente 597 numeri di cellulare Italiani distinti.

Complessivamente un solo attacco di Phishing che sfrutta l’immagine di Amazon ha tratto in inganno 597 vittime.

Nel mese di Gennaio 2018 D3Lab ha già rilevato 25 nuovi attacchi di Phishing volti a colpire i clienti Deutsche Bank IT, una forte attività se confrontata ai 32 casi totali del 2017 o i 12 casi del 2016.

L’attività illecita avviene tramite mail dove il cliente viene invitato a confermare le proprie credenziali a causa di un’attività insolita; l’url proposto nella mail di phishing svolge una funzione di redirect portando il visitatore su una pagina fraudolenta differente da quella linkata nella mail.

 

 

Dai due screenshot sovrastanti si può notare come venga riportata la grafica e il logo del sito originale e la frode mira a carpire alle vittime le loro credenziali d’accesso sul portale.

L’analisi dei domini coinvolti ha permesso di individuare la presenza di Kit di Phishing ai danni di altri Istituti Bancari Italiani e ad oggi tutti i cloni rilevati risultano inattivi.