Il Threat Intelligence Team di D3Lab nelle quotidiane attività di analisi e contrasto alle frodi online ha rilevato nella giornata del 26 Ottobre la diffusione di una campagna di phishing ai danni di Fatture in Cloud.
Fatture in Cloud è il software di fatturazione online per la gestione completa della società come: fatture, preventivi, acquisti, prima nota, analisi dell’andamento, scadenzario e molto altro.
Continua a leggere
A partire da Martedì 9 Marzo D3Lab ha rilevato diverse campagne di phishing ai danni degli utenti del Gruppo Banca Popolare di Bari, attualmente sono state identificate quattro distinte campagne che coinvolgono cinque diversi domini.
La campagna è stata diffusa a mezzo e-mail avvisando gli utenti che è presente un messaggio importante nell’area riservata ed invita l’utente ad accedere al link riportato per visualizzarlo.
Dopo la campagna di phishing ai danni di BRT che si sta protraendo dallo scorso 18 Novembre con la tredici distinte campagne; in data odierna il nostro gruppo di analisi e contrasto al phishing ha rilevato una nuova minaccia per gli utenti Italiani che coinvolge un altro vettore nazionale: UPS (United Parcel Service).
Come per la campagna ai danni di Bartolini gli utenti vengono avvisati a mezzo email della presenza di una consegna in attesa di recapito da parte del vettore UPS e vengono invitati a pagare 3,99euro affinché il pacco venga effettivamente consegnato.
D3Lab nell’azione costante di monitorare nuove attività di Phishing ai danni degli utenti Europei ha rilevato una nuova campagna malevola ai danni di Tophost, hosting provider Italiano fondato nel 2004.
La diffusione avviene mediante una eMail che informa l’utente che il proprio dominio è stato sospeso e lo invita a procedere al pagamento mediante carta di credito, come visibile dal seguente screenshot.
Dalla tarda serata di ieri 21 Ottobre abbiamo rilevato una importante campagna di Phishing ai danni di TNT Italia, l’intento dei criminali è quello di carpire le credenziali di accesso al portale myTNT delle vittime.
È la prima campagna, Italiana, che rileviamo con queste finalità ai danni di TNT, in passato avevamo rilevato altre attività malevoli che sfruttavano il logo della nota compagnia di trasporti ma per diffondere malware.
L’attacco di Phishing è veicolato mediante eMail e invita l’utente a verificare il proprio indirizzo in quanto non risulta reperibile. La mail spedita dall’indirizzo [email protected] risulta ovviamente spoofato (falsificato) per rendere la comunicazione più veritiera.
Invitiamo quindi come sempre gli utenti a prestare la massima attenzione e non fornire credenziali o informazioni personali sul web senza aver verificato l’autenticità del sito web.
Usualmente siamo soliti pensare al phishing come ad una minaccia che colpisce principalmente gli utenti del web nella loro posizione di clienti di un servizio, sia esso bancario, di cloud, ecc…
Ma questo è vero solo in parte, o meglio rappresenta solo uno dei possibili aspetti della vicenda, perché il phishing pur partendo da un attacco finalizzato a colpire un servizio ad uso personale, privato, può facilmente impattare sulla struttura aziendale.
Possiamo quindi esaminare due scenari.
Nella nostra Spam Trap nel week end appena passato abbiamo ricevuto una eMail con mittente “Amazon.it” e oggetto “Per favore rivedi il tuo caso 1989…”, dati gli evidenti errori nel corpo dell’eMail abbiamo inizialmente pensato ad una nuova campagna di Phishing finché non siamo arrivati al collegamento ipertestuale che riporta “https://www.amazon.it/…” come potete notare dal seguente screenshot del codice sorgente.
Una eMail con evidenti errori di battitura ma con un solo collegamento al dominio ufficiale di Amazon. È phishing o è legittima?! 🤔
Ecco questa è stato il nostro dubbio iniziale, poi è bastata analizzarla per capire che si trattava realmente di una eMail di Phishing veicolata attraverso il dominio ufficiale amazon.it!
I Phisher hanno sfruttato il servizio di Amazon Cloud Drive per diffondere un file HTML (amazon (2018-08-24T12_28_44.664).html), la vittima è invitata a scaricare tale file e successivamente ad aprirlo. 
Aprendo tale file con il Browser vedremo la pagina di Phishing che verrà caricata sfruttando risorse esterne ospitate su un dominio compromesso (366-news[.]com).
La vittima visualizzerà inizialmente una lettera in cui viene dettagliato il problema del pagamento nell’ultimo ordine e la procedura da effettuare per completare il pagamento, successivamente verranno richieste le credenziali Amazon, i dati della carta di credito ed infine una foto del proprio documento, un selfie e una foto della carte di credito.
Come di consueto invitiamo sempre gli utenti a prestare la massima attenzione.
D3Lab opera da diversi anni nell’analisi e nel contrasto del Phishing ai danni dei principali Istituti Bancari Italiani o Big Corporate, negli ultimi anni si è però maggiormente affermato il fenomeno dello Spear Phishing con una crescita nel 2017 di oltre il 1000% come sottolinea il ClusIT.
Spear Phishing: Indica un tipo particolare di phishing realizzato mediante l’invio di Email fraudolente ad una specifica organizzazione o persona. Lo scopo di questi attacchi è tipicamente quello di ottenere accesso ad informazioni riservate di tipo finanziario, a segreti industriali, di stato o militari. {CERT Nazionale}.
I phisher che adottano questa tecnica hanno una profonda conoscenza delle vittime e realizzano campagne di Phishing Ad hoc su servizi o applicazioni che la vittima usa quotidianamente.
Dalle immagini sovrastanti si può notare una campagna di Spear Phishing eseguita ai danni di una multinazionale che sfrutta per l’appunto i servizi di Microsoft Office 360 e DropBox, alcuni dipententi hanno ricevuto una eMail con un documento HTML allegato. Aprendo tale documento viene richiesta la conferma delle credenziali per accedere ai sopracitati servizi. Il phisher ha l’obiettivo di ottenere le credenziali degli utenti per poter accedere alle loro caselle mail e proseguire le attività illecite richiedendo per esempio bonifici bancari o eseguendo ordini verso altre società.
Il Team di D3Lab è intervenuto contrastando di questo fenomeno ottenendo la disabilitazione dei server Brasiliani e Australiani a cui venivano inviate le credenziali.
Nell’attività di monitoraggio ed eventuale contrasto al Phishing che effettuiamo quotidianamente a inizio Novembre abbiamo rilevato la dodicesima attività fraudolenta svolta ai danni di Iccrea Banca (CartaBCC) del 2017.
L’attacco avviene mediante una eMail che richiede all’utente di “Verificare la tua identità, altrimenti il tuo account verrà sospeso” e lo invita a visitare un sito web per ottenere maggiori informazioni.
Visitando il sito web riportato viene inizialmente richiesto l’username e la password per accedere al portale dedicato alla propria Carta di Credito BCC e successivamente vengono richieste ulteriori informazioni, quali:
L’eMail e la relativa password non sono strettamente necessari al Phisher per sfruttare la carta di credito illecitamente carpita ma è un ulteriore informazione sensibile che gli permetterebbe di sottrarre altri dati sensibili vittima o di sfruttare l’account di posta e relativa rubrica per inviare nuovi messaggi di Phishing.
Nel tardo pomeriggio del 5 Settembre abbiamo rilevato una nuova campagna di Phishing svolta a sfavore degli utenti di Virgilio eMail, Virgilio è un noto portale di Italiaonline che storicamente ha permesso a molti utenti Italiani di ottenere una casella di Posta Elettronica gratuitamente. Italiaonline detiene inoltre il Brand di Libero Mail, altro portale molto sfruttato.
L’attacco di Phishing diffuso tramite eMail avvisa l’utente che è in fase di rilascio una nuova versione di Virgilio.it ed invita l’utilizzatore ad effettuare un Upgrade affinché non vengano persi i dati e le eMail “sul proprio conto”.
Selezionando il link per l’Upgrade si viene riportati in un dominio creato Ad-hoc per effettuare la campagna di Phishing, il dominio è: my-virgilio[.]com.
La pagina di login presente nel dominio, che vedete nello screenshot di apertura, richiede all’utente la propria eMail e la propria password. Una volta digitate tali credenziali la vittima viene reindirizzata al legittimo portale di Virgilio eMail.
Il palese intento di questa campagna di Phishing è quello di raccogliere le credenziali delle vittime, credenziali che possono essere sfruttate per accedere a dati personali o per effettuare ulteriori campagne di Phishing.
Il dominio in analisi presenta i seguente Whois:
Name: Grazia Martella
Address: PALERMO
City: PALERMO
State: PALERMO
ZIP Code: 02154
Email: [email protected]
Phone: +39.000000000
Come spesso accade per i domini creati Ad-hoc per campagne di Phishing i dati citati nel Whois sono casuali o riportano dati di precedenti vittime. Infatti in questo specifico caso il CAP di Palermo non è 02154 come citato ma bensì compreso tra 90121 e 90151.
Invitiamo come sempre gli utenti a prestare la massima attenzione e di non comunicare alcun dato personale