Articoli di approfondimento sul Phishing Italiano e Internazionale con nozioni tecniche e metodi di prevenzione.

Banca_Popolare_Sondrio_Phishing_01.png

Nel mese di Giugno 2017 abbiamo rielvato una attività di Phishing svolta ai danni dei correntisti dei Banca Popolare di Sondrio, l’intento dei criminali è quello di carpire inizialmente l’username e il PIN della vittima. Inserite queste due prime credenziali viene poi richiesto un codice OTP, tramite queste tre indicazioni il Phisher è in grado di effettuare operazioni sul conto corrente della vittima come Bonifici Bancari o Ricariche Telefoniche.

Banca_Popolare_Sondrio_Phishing_02.png

La diffusione dell’attività di Phishing è avvenuta mediante eMail, la quale è stata realizzata in maniera grossolana e riporta molti dati contrastanti. Infatti troviamo la citazione della Banca Popolare di Sondrio solamente nella mail mittente, mentre l’oggetto riporta una citazione all’ente Equitalia e infine nel corpo del messaggio troviamo anche qui una citazione ad Equitalia ma anche a Unicredit Banca.

Banca_Popolare_Sondrio_Phishing_03.png

La Banca Popolare di Sondrio riceve, sebbene con frequenza contenuta, costantemente attacchi di Phishing dal 2012, ricordiamo quindi ai correntisti di questo istituito di prestare la massima attenzione.

Intesa San Paolo dall’autunno dello scorso anno ha pubblicato e costantemente aggiornato una nuova interfaccia grafica del proprio portale di Home Banking lasciando comunque all’utente la possibilità di decidere se accedere alla vecchia interfaccia o alla nuova.

Dai primi giorni di Luglio fino ad oggi abbiamo rilevato diverse campagne di Phishing ai danni dell’istituto bancario che replicano la nuova interfaccia grafica, il Phisher non ha solamente aggiornato la grafica ma è ora in grado di verificare le credenziali immesse dalla vittima in tempo reale così da evitare l’acquisizione di dati errati.

La campagna di Phishing viene diffusa tramite una eMail medesima alla seguente

Invitiamo come sempre gli utenti alla massima attenzione!

 

Dal 21 Luglio è in corso una campagna di Phishing ai danni di Vodafone Italia, gli utenti vengono ingannati da una promozione molto invitante a ricaricare 20euro il proprio numero di cellulare per ottenere in cambio dall’operatore il traffico internet illimitato per 6 mesi! Visto il periodo estivo molti utenti sono interessati ad aumentare il traffico internet incluso nella propria offerta per poter condividere in totale libertà sui Social Network le foto o i video delle vacanze!

I Phisher sfruttano il desiderio dei clienti di aver maggior traffico internet per attrarli in trappola, realmente ricaricando 20euro non si ottiene traffico internet illimitato e neanche 20euro di traffico! Bensì si stanno fornendo i dati della propria Carta di Credito ad un team di criminali! Carta di Credito che verrà sfruttata per effettuare addebiti illeciti decisamente superiori ai 20euro.

L’eMail, che vi mostriamo di seguito, è scritta in un Italiano corretto anche se la grafica e l’allineamento del testo lasciano a desiderare. Da sottolineare inoltre che per rafforzare la veridicità del messaggio citano il programma a premi Vodafone You, un programma dismesso da qualche anno ma certamente non tutti gli utenti sono così attenti nel seguire tutte le novità dell’operatore telefonico.

La prima pagina del kit di Phishing è molto similare alla eMail ma va a rimarcare graficamente i “vantaggi” che si ottengono con una ricarica, ovvero traffico illimitato per 6 mesi!

Simulando l’inserimento dei dati è possibile notare che il Phisher obbliga l’utente a digitare i dati della Carta di Credito, nonostante graficamente vediamo l’opzione di pagamento tramite PayPal realmente tale possibilità è inibita. Successivamente alla digitazione dei propri dati viene mostrata una pagina di riepilogo in cui viene riportato il taglio della ricarica selezionato, il numero di cellulare e i dati della Carta di Credito.

Invitiamo come sempre gli utenti alla massima attenzione, questo attacco di Phishing seppur fatto bene sfrutta un dominio facilmente identificabile come falso.

Le attività di Phishing vengono svolte non solo con l’intento di acquisire i dati bancari delle vittime come spesso vediamo ma anche credenziali di accesso ai più diversi servizi, lo screenshot di apertura ne è per l’appunto un esempio. Il porta immobiliare Casa.it è vittima di una campagna di Phishing dallo scorso 18 Luglio, la campagna con la creazione di un opportuno dominio ad-hoc vuole ottenere le credenziali di accesso del portale.

Il kit costruito dai Phisher è in grado, come visibile nello screenshot successivo, di verificare le credenziali immesse. Se non corrette viene riportato l’errore “Dati di accesso non validi”.

Se invece la vittima digita credenziali corrette si riceve un messaggio di conferma e si viene reindirizzati al sito autentico www.casa.it

I Phisher hanno quindi ottenuto le credenziali che possono essere sfruttate per modificare annunci immobiliari già presenti o inserirne di nuovi.

Nel periodo estivo gli annunci di affitto di case vacanze aumentano, se un annuncio legittimo venisse modificato citando un contatto telefonico/eMail alternativo cosa potrebbe succedere? Il criminale sostituendosi al legittimo proprietario potrà richiedere una caparra su un conto corrente alternativo per la prenotazione dell’appartamento, frodando pertanto la vittima che non solo ha perso la caparra ma anche la prenotazione dell’appartamento.

Serverlplan_Phishing.png

 

Sempre più spesso rileviamo campagne di Phishing ai danni di provider Italiani, lo scorso Marzo vi riportavamo un attacco mirato a 4 provider Italiani. Recentemente abbiamo rilevato una nuova campagna fraudolenta ai danni di Serverplan, altro noto provider Italiano partner di cPanel & WHM per l’erogazione dei servizi in Hosting.

I Phisher hanno per l’appunto clonato la pagina di login della WebMail di cPanel, nonostante non siano presenti loghi o marchi di Serverplan nella pagina di Phishing si desume che l’attacco è rivolto ai loro clienti dall’url che incorpora la sottocartella denominata “serverplan” ed inoltre testando l’inserimento di credenziali il form richiama tramite chiamata POST il file “lanciola.php” che, dopo aver ricevuto e gestito le credenziali, effettua un redirect al sito https://www.serverplan.com.

Di seguito un estratto del comando curl sullo script PHP che ha il compito di ricevere le credenziali e reindirizzare la vittima sul sito ufficiale

$ curl -Iv http://watchmanreports[.]com/serverplan/lanciola.php
* Hostname was NOT found in DNS cache
* Trying 184.154.216.242…
* Connected to watchmanreports[.]com (184.154.216.242) port 80 (#0)
> HEAD /serverplan/lanciola.php HTTP/1.1
> User-Agent: curl/7.35.0
> Host: watchmanreports[.]com
> Accept: */*
>
< HTTP/1.1 302 Moved Temporarily
HTTP/1.1 302 Moved Temporarily
* Server nginx is not blacklisted
< Server: nginx
Server: nginx
< Date: Wed, 12 Jul 2017 09:54:12 GMT
Date: Wed, 12 Jul 2017 09:54:12 GMT
< Content-Type: text/html
Content-Type: text/html
< Content-Length: 0
Content-Length: 0
< Connection: keep-alive
Connection: keep-alive
< X-Powered-By: PHP/5.4.45
X-Powered-By: PHP/5.4.45
< Location: https://www.serverplan.com
Location: https://www.serverplan.com
< X-XSS-Protection: 1; mode=block
X-XSS-Protection: 1; mode=block
< X-Content-Type-Options: nosniff
X-Content-Type-Options: nosniff
< X-Nginx-Cache-Status: MISS
X-Nginx-Cache-Status: MISS

<
* Connection #0 to host watchmanreports[.]com left intact

Acquisite le credenziali delle caselle eMail i Phisher oltre ad accedere ad eventuali dati sensibili contenuti nella casella di posta elettronica, possono estrapolare nuovi contatti ed inviare messaggi fraudolenti.

Invitiamo gli utenti alla massima attenzione.

In un recente caso di Phishing ai danni di Poste Italiane abbiamo potuto analizzare il Kit sfruttato dal Phisher per simulare il portale autentico di poste Italiane, solitamente le credenziali delle vittime vengono inviate al truffatore tramite eMail oppure salvate localmente in un file binario.

Questo Kit in analisi permette di inviare le credenziali anche tramite IRC, in un network ed un canale specifico. Il Phisher collegato alla rete IRC potrà quindi vedere in tempo reale le credenziali (username, password, telefono, carta di credito, ecc) digitate dalla vittima.

Nello screenshot iniziale potete notare una simulazione che abbiamo eseguito sfruttando il kit, uno script PHP ha il compito di collegarsi al canale specificato (#testtest nel nostro esempio) e andrà a riportare le credenziali delle vittime. Il bot IRC è inoltre in grado di rispondere a dei comandi prestabili tra essi è indubbiamente rilevante il comando manda che ha il compito di stampare a monitor tutte le credenziali carpite. Infine il comando Salir termina l’esecuzione dello script PHP ed esce dalla Chat.

 

Email.it è uno dei principali portali Italiani ad offrire caselle di posta elettronica (gratuite o a pagamento) con oltre mezzo milione di caselle realmente attive. Durante lo scorso week-end del 20 e 21 Maggio 2017 abbiamo rilevato una campagna di Phishing ai danni degli utilizzatori dei servizi offerti. Il provider Italiano si avvale della piattaforma di posta elettronica Zimbra per offrire l’accesso alla WebMail e proprio il Phisher fa leva su questa caratteristica recentemente pubblicizzata dal portale per veicolare al meglio il tentativo di Phishing.

L’eMail rilevata, che riportiamo integralmente di seguito, chiede all’utente di confermare le proprie credenziali di accesso causa un ipotetica chiusura degli account, ma chiede inoltre anche l’attuale occupazione, la data di nascita e il paese di residenza.

Ciao cari Membri Webmail/Zimbra.it Utenti
A causa della congestione del traffico in tutti gli account utente Webmail/Zimbra.it!,Webmail/Zimbra.it! sarebbe la chiusura di tutti gli account non utilizzati. Per evitare di disattivare il tuo account, devi confermare il tuo indirizzo e-mail compilando tuoi dati di accesso qui di seguito, cliccando sul pulsante Rispondi. I dati personali richiesti è per la sicurezza del tuo Webmail/Zimbra.it account.Si prega di compilare tutte le informazioni richieste.

Nome utente:………………………………………….
Indirizzo e-mail:…………………………………….
Password: ……………………………………………
Data di nascita:………………………………………
Occupazione:………………………………………….
Paese di residenza:…………………………………….

Dopo aver seguito le istruzioni del foglio, il tuo Webmail/Zimbra.it account! account non verrà interrotto e continuerà come al solito. Grazie per la vostra azione di cooperazione solito. Ci scusiamo per gli eventuali disagi.

Webmail/Zimbra.it! Servizio Clienti
Caso numero: 8941624
Bene: Account Security
Contatta Data: 20-05-2017

L’intento del Phisher è indubbiamente quello di ottenere l’accesso alle caselle eMail della vittima e successivamente carpire informazioni sensibili (messaggi e allegati confidenziali), arricchire le proprio liste di eMail a cui spedire Phishing o inviare eMail direttamente dalla casella della vittima.

Abbiamo risposto al Phisher fornendogli dati fittizi, ma integrando un tracciante per profilare il truffatore. L’eMail è stata letta tre volte nell’arco di 24h, probabile perché ha tentato più volte le credenziali errate che gli erano state fornite, l’User Agent ci rivela che l’eMail vengono lette tramite il Browser e la relativa WebMail vanificando un eventuale tracciatura dell’IP ma veniamo a conoscenza dell’uso di Google Chrome e del sistema operativo Microsoft Windows infine il linguaggio del Browser è Francese (fr-FR).

 

Il phisher potrebbe essere Francese o conoscere molto bene la lingua Francese da preferirla rispetto alla sua lingua nativa, in passato abbiamo già discusso di una forte comunità di Phisher di origine Marocchina.

Lo scorso Giovedì 6 Aprile abbiamo rilevato diversi attacchi di Phishing ai danni della Banca Popolare del Lazio, di tale ente in passato non avevamo mai rilevato alcun tentativo di Phishing. In una prima fase l’intento del Phisher era quello di carpire esclusivamente le credenziali di accesso all’Home Banking, effettuando l’inserimento delle credenziali la vittima veniva reindirizzata al sito autentico dell’istituto bancario.

Nel pomeriggio della medesima giornata abbiamo rilevato una successiva modifica al kit, una volta digitate le credenziali la vittima era invitata a digitare il proprio Token OTP. Attaverso le credenziali e il token il criminale può operare sul Home Banking delle vittima eseguendo operazione illecite, quali bonifici, ricariche telefoniche, ecc ecc.

Analizzando il codice HTML ci troviamo di fronte a due pagine molte semplici in quando il Phisher ha sfruttato una tecnica sempre più diffusa per ovviare ad eventuali problemi grafici, anzichè replicare ogni singola immagine, regole css e JavaScript le due pagine sono composte da una grande immagine di sfondo che riproduce il sito ufficiale sovrapposta esclusivamente dai form per raccogliere le informazioni della vittima.

Notiamo attraverso queste due immagine di sfondo un ulteriore conferma dell’avvenuto aggiornamento del kit, l’orario riportato nei due precedenti screnshot  è diverso con un lasso di tempo importante. Infatti l’immagine di sfondo della schermata di login riporta “2017-04-06 08:48” mentre l’immagine di sfondo della schermata del codice OTP riporta “2017-04-06 14:59”. 6h di differenza in cui il Phisher  ha sfruttato le credenziali inserite da una vittima per poi effettuare un accesso illecito al homebanking e poi clonare anche una seconda pagina.

Un ultimo particolare, che forse i lettori più attenti avevano già notato nel secondo screenshot, alla destra del messaggio Bentornato/a appare normalmente il nome del cliente dell’istituto di credito una volta eseguito il login. In questo caso il Phisher ha coperto il nominativo con un rettangolo grafico trascurando il cambio di gradiente, permetendoci quindi di riconoscere un ulteriore alterazione.

Concludiamo l’articolo mostrandovi l’immagine della eMail pervenuta alle vittime ricordandovi di prestare sempre la massima attenzione.

Nella serata di Lunedi 10 Aprile abbiamo rilevato una nuova attività di Phishing ai danni del Gruppo Banca Carige, l’eMail avvisa le vittime che è stata rilevata una attività insolita sulla Carta di Credito della vittima e lo invita ad accedere al Collegamento Sicuro per confermare la propria identità.

Ovviamente non si tratta di alcun Collegamento Sicuro, l’utente infatti viene indirizzato ad un sito internet compromesso in cui gli vengono richieste le credenziali del suo Home Banking permettendo di scegliere una delle banche del Gruppo Carige:

  • Banca Carige Spa
  • Banca Carige Italia Spa
  • Cassa di Risparmio di Savona SpA
  • Cassa di Risparmio di Carrara SpA
  • Banca del Monte di Lucca SpA
  • Banca Cesare Ponti

Selezionato il proprio istituto bancario e digitate le credenziali alla vittima viene mostra l’interfaccia dell’Home Baking fedele all’originale, ad eccezzione di una evidente modifica sulla parte centrale in cui vengono richiesti i dati della carta di credito con la giustificazione che è necessario digitarli per sbloccare l’account.

Il Phisher per ricostruire così fedelmente l’interfaccia grafica deve aver avuto accesso al pannello di Home Banking attraverso le proprie credenziali o ad una precedente operazione di Phishing, analizzando più approfonditamente il kit di Phishing sono emersi ulteriori dettagli.

Inanzitutto il footer riporta “2015 – Gruppo Banca Carige – Banca Carige S.p.A.” la dicitura “2015” evidenza come il clone possa essere creato nel 2015 e non attualmente!

Analizzando inoltre il codice HTML è possibile identificare informazioni offuscate o parzialmente modificate dell’utente sfruttato per accedere al legittimo sito di Home Banking del Gruppo Carige per eseguire la clonazione. Come vi mostriamo nei seguenti tre screenshot è possibile risalire al Nome e Cognome, eMail e Numero di Cellulare.

Nella giorna odierna abbiamo rilevato un nuovo attacco di Phishing ai danni della Banca Popolare dell’Alto Adige Volksbank, l’intento del Phisher è quello di acquisire le credenziali di accesso all’Home Banking e successivamente i 24 Token statici. Sfruttando i token forniti dalla vittima i Phisher potranno effettuare operazioni illecite, come bonifici, ricariche telefoniche e qualsiasi altra operazione concessa all’utente sul suo Home Banking.

Invitiamo pertanto gli utenti alla massima cautela ricordandovi che gli Istitui Bancari non richiedono mai di confermare tutti i Token in vostro possesso.