Phishing

Phishing ai danni di Carrefour Banca

Carrefour Banca, succursale di Carrefour Banque in Italia, è un istituto di credito Italiano che subisce attività di Phishing dal 2013 con un andamento statistico non lineare. Nel 2013 rilevammo complessivamente dodici segnalazioni, nel 2014 undici segnalazioni, nel 2015 non abbiamo rilevato alcun attacco, infine nel 2016 e nel 2017 un solo attacco.

Per il 2018 invece stiamo rilevando un trend in crescita che porterebbe gli attacchi di Phishing nel 2018 superiori a quelli del 2013. Infatti nei primi 45 giorni del 2018 abbiamo già rilevato 3 attacchi di Phishing.

Attacchi di Phishing a danno di Carrefour Banca

L’utente viene invitato a confermare le proprie credenziali di accesso al Home Banking e successivamente a compilare le informazioni della propria carta di credito.

Infine viene richiesto l’inserimento del codice OTP ricevuto dalla vittima sul proprio cellulare per autorizzare l’addebito sulla carta di credito.

L’ultimo attacco di Phishing rilevato il 14 Febbraio coinvolge due distinti dominii web compromessi e sfrutta, per vanificare l’immediata efficacia delle BlackList, la generazione di directory casuali così che ogni visitatore visualizzi un URL diverso dai precedenti.

Come sempre invitiamo gli utenti a prestare la massima attenzione alle comunicazione via SMS o eMail che ricevono.

19 Febbraio 2018/1 Commento/da Andrea Draghetti

Phishing ai danni di Register.it

Phishing

Register.it, parte di Dada Company, è un noto provider Italiano che offre dal 1999 i suo servizi nel mercato Italiano. Come abbiamo già avuto modo di mostrare nei precedenti articoli stiamo rilevando, dall’ultimo trimestre del 2017, un notevole incremento di attività di Phishing ai danni di Web provider Europei.

Tutte le attività di Phishing si accomunano nella richiesta di credenziali (username, email e password) per ottenere l’accesso ai pannelli di amministrazione dei dominii web o alle webmail ed infine alla regolarizzazione di un falso problema di fatturazione tramite l’inserimento dei dati della propria carta di credito.

Register.it, come potete vedere nel grafico seguente, ha subito attacchi di Phishing di modesta entità nel 2015 e 2017 ma nei primi 45 giorni del 2018 abbiamo già rilevato otto segnalazioni, un trend decisamente in crescita che potrebbe vedere il 2018 concludersi con oltre sessanta attacchi.

Di seguito trovate una galleria di screenshot di un kit di Phishing sfruttato ai danni di Register, come anticipato inizialmente alla vittima viene richiesto di regolarizzare un problema di fatturazione tramite l’inserimento dei dati della propria carta di credito. Successivamente il phisher richiedere per ben due volte il codice OTP della vittima, ovvero il codice che l’utente riceve tramite SMS o visualizza nel proprio token fisico. Questo codice permette ai malviventi di eseguire addebiti sulla carta di credito della vittima.

16 Febbraio 2018/da Andrea Draghetti

Grande numero di domini di phishing Ad Hoc ai danni di banche ed enti Francesi

Brand Monitor, Phishing

Uno dei servizi offerti da D3lab e’ quello di Brand Monitor, che effettua il monitoraggio giornaliero della registrazione di nuovi domini.

Si tratta, in molti casi, di nuovi domini con nomi molto simili a quelli dei siti legittimi con lo scopo di confondere, ad esempio, gli utenti di Home Banking per fargli credere di essere sul reale sito della banca ed mette in atto frodi.

I nomi di dominio comprendono in tutto o in parte il nome dell’ente da colpire spesso in unione ad altri termini leciti.

Oltre ai casi di banche italiane prese di mira dai phishers, e’ particolare notare il grande numero di nuovi domini ad-hoc rilevati giornalmente e che riguardano banche ma anche enti governativi francesi.

E’ probabile che una delle ragioni di questo interessamento dei phishers per la Francia sia dovuto alla grande diffusione in questa nazione di servizi internet tra cui l’Internet Banking.

Come si vede dal grafico, l’utilizzo nel 2017 di servizi Internet Banking in Francia e’ piu’ del doppio di quello italiano e di conseguenza anche il numero di potenziali utenti coinvolti in possibili attacchi di phishing risulta elevato.

In dettaglio possiamo vedere che nel mese di gennaio 2018 D3Lab ha rilevato numerosi nuovi domini ad-hoc relativi a diverse banche francesi tra cui

ma anche un grande numero di nuovi domini creati per colpire enti governativi tra cui

In ogni caso bisogna ricordare che per la maggior parte, non si tratta di phishing attivo ma di domini che se visualizzati nel browser mostrano messaggi di vario genere (dominio parcheggiato, sito in costruzione ecc….) in attesa di venire attivati in seguito dal phisher

ed anche

oppure

Nel momento in cui il clone viene poi attivato le pagine di phishing potrebbero essere inserite in directory accessibili solo attraverso il link di attacco presente nella email fraudolenta, mentre la home page del sito continuerebbe a presentarsi con il modello di default/parcheggio.

Una analisi del whois per i nuovi dom. FR rilevati, propone in buona parte nomi di registrant francesi

e spesso, un reverse whois, mostra che il registrant ha registrato piu’ di un nuovo dominio, sempre relativo a banche francesi

mentre sono utilizzati in molti casi anche i servizi di ‘privacy’ per nascondere i dati relativi al registrant.

14 Febbraio 2018/da Denis D3Lab

Nuova ondata di phishing via mail a danno di Amazon IT

Phishing

Dalla fine del 2017 ad oggi abbiamo rilevato un incremento notevole di tentativi di frode a danno di Amazon Italia attraverso l’invio di messaggi di posta elettronica fraudolenta.

Solo nell’ultima settimana di Dicembre D3Lab ha rilevato più di un centinaio di mail fraudolente.

Dai screenshot delle eMail sottostanti potete notare come la grafica e il contenuto delle eMail varia invitando la vittima ad effettuare il login per evitare la sospensione del proprio conto, per verificare l’accumulo di punti con la possibilità di vincere i biglietti per il Gran Premio di Monza o per una informativa sulla privacy.

Questo slideshow richiede JavaScript.

Il collegamento ipertestuale presente nella mail svolge funzione di redirect portando i visitatori su una pagina clone richiedente le credenziali di accesso al portale e successivamente in una nuova pagina richiedente i dati della carta di credito:

La procedura si completa indirizzando l’utente sulla pagina ufficiale di Amazon Italia.

Complessivamente l’utente è invitato a fornire al Phisher:

Nome e Cognome;
Account Amazon;
Numero di Telefono;
Codice Fiscale;
Carta di Credito (PAN, CV2 e Scadenza).

Analizzando l’attacco di Phishing del 31 Dicembre 2017, attualmente ancora attivo, abbiamo individuato la posizione in cui i Phisher memorizzando i numeri di telefono delle vittime e monitorando tale risorsa ad oggi sono presente 597 numeri di cellulare Italiani distinti.

Complessivamente un solo attacco di Phishing che sfrutta l’immagine di Amazon ha tratto in inganno 597 vittime.

8 Febbraio 2018/da Jessica D3Lab

Phishing ai danni di Deutsche Bank IT

Phishing

Nel mese di Gennaio 2018 D3Lab ha già rilevato 25 nuovi attacchi di Phishing volti a colpire i clienti Deutsche Bank IT, una forte attività se confrontata ai 32 casi totali del 2017 o i 12 casi del 2016.

L’attività illecita avviene tramite mail dove il cliente viene invitato a confermare le proprie credenziali a causa di un’attività insolita; l’url proposto nella mail di phishing svolge una funzione di redirect portando il visitatore su una pagina fraudolenta differente da quella linkata nella mail.

Dai due screenshot sovrastanti si può notare come venga riportata la grafica e il logo del sito originale e la frode mira a carpire alle vittime le loro credenziali d’accesso sul portale.

L’analisi dei domini coinvolti ha permesso di individuare la presenza di Kit di Phishing ai danni di altri Istituti Bancari Italiani e ad oggi tutti i cloni rilevati risultano inattivi.

5 Febbraio 2018/da Jessica D3Lab

Intesa Sanpaolo bersaglio nel Week End dell’Epifania

Phishing

Durante il week end dell’Epifania abbiamo rilevato un importante attacco di Phishing ai danni degli utenti Intensa Sanpaolo, attacco effettuato mediante la creazione di 24 dominii Ad Hoc con valido certificato SSL.

I dominii coinvolti nel recente attacco ai danni di Intesa Sanpaolo:

attivasistema[.]site
confermasistema[.]site
creditcardassistenza[.]site
creditcardgestisc[.]site
creditcardregistra[.]site
datigruppo[.]site
nuovosistema[.]site
relaiunicardservizio[.]site
relaiunicredit[.]site
relaiunicreditcardservizi[.]site
relaiunicreditdati[.]site
relaiunidati[.]site
serviziinformazioni[.]site
servizioelettronico[.]site
servizioverified[.]site
serviziutili[.]site
sicurocertificato[.]site
sicurogruppo[.]site
sicuroinformazioni[.]site
sicuropropria[.]site
unicardassistenza[.]site
unicardportale[.]site
unicardservizio[.]site
unicardsicurezza[.]site

Le possibili vittime hanno ricevuto tra sabato 6 e domenica 7 Gennaio una falsa eMail che riporta il classico avviso di avvenuto blocco della carta di credito e l’invito a seguire la procedura online per effettuare lo sblocco della carta. eMail che contiene palesi errori, come: “la tua carta è stata fermata per ulteriori attività”.

L’intento dei Phisher è quello di carpire i dati della carta di credito delle vittime, il codice di sicurezza e più codici della chiave OTP O-Key. Questi dati permettono al Phisher di effettuare immediati acquisti con le carte sottratte agli utenti. Di seguito trovate una carrellata di screenshot del kit di Phishing sfruttato.

Invitiamo come sempre gli utenti alla massima attenzione nella lettura delle eMail e nell’identificazione di URL/dominii non riconducibili all’istituto bancario.

8 Gennaio 2018/da Andrea Draghetti

Phishing ai danni di Booking.com

Phishing

Booking.com è una nota piattaforma, sviluppata in Olanda, attraverso la quale gli amanti dei viaggi possono organizzare i propri tour prenotando sistemazioni in alberghi, appartamenti, B&B, ecc..

Nella giornata odierna D3Lab ha rilevato una prima mail, Italiana, di Phishing rivolta a colpire nuovi possibili utenti della piattaforma.

La mail di attacco, che potete osservare nell’immagine soprastante, non mira infatti a colpire chi sia già utente Booking.com, ma proponendo un bonus di 200$ invoglia nuovi utenti ad iscriversi al servizio. L’email fraudolenta, partita da un sistema MS Windows, era strutturata con corpo messaggio in codice html codificato in base64.

L’attacco, portato con la modalità del redirect, vedeva l’impiego di due diversi siti web presumibilmente compromessi, uno per il file di redirect linkato nella mail ed uno per il clone. Al momento le pagine clone non risultano raggiungibili.

La prima pagina di phishing richiedeva i dati base per l’apertura di un account

mentre nella seconda e terza pagina contenevano la richiesta dei dati della carta di credito dell’utente.

Questo ennesimo tentativo di phishing a danno di enti non bancari evidenzia la semplicità con la quale qualsiasi servizio, per il quale sia giustificabile la richiesta di dati di pagamento o altri dati sensibili ed appetibili, possa diventare un target per i criminali.

Si consiglia sempre di osservare gli url celati dai link nelle email ricevute e di ricercare on-line i reali riferimenti/domini dei siti/servizi di interesse, tralasciando gli annunci sponsorizzati/pubblicitari che già in passato sono stati abusati per specifici attacchi di phishing.

3 Gennaio 2018/da Denis D3Lab

Phishing ai danni di Sky Italia

Phishing

Lunedì 11 Dicembre abbiamo rilevato la prima attività di Phishing ai danni di Sky Italia, attività svolta da parte di un team di Phisher molto attivo in ambito Italiano che è solito sfruttare redirect mediante pagine indicizzate dal motore di ricerca Google.

Come potete visualizzare dagli screenshot riportati l’intento dei criminali è quello di carpire il profilo Sky ID e la Carta di Credito degli utenti oltre a codice fiscale, indirizzo eMail e relativa password.

L’attacco è veicolato mediante un sito web compromesso, sito dotato di un valido certificato SSL emesso lo scorso 14 Febbraio da Let’s Encrypt. Il certificato HTTPS è sempre più sfruttato in attività di Phishing in quanto la vittima tende a fidarsi maggiormente del contenuto visualizzato. Uno stereotipo errato come abbiamo già dimostrato più volte in passato. L’implementazione del certificato SSL, anche gratuito, su tutti i siti web è fondamentale per garantire l’integrità della comunicazione tra il web server e l’utente ma altresì importante sottolineare che non garantisce la leicità del contenuto visualizzato.

Ad oggi l’attacco di Phishing non è più attivo, ricordiamo comunque agli utenti di prestare attenzione alle comunicazioni che si ricevono.

21 Dicembre 2017/da Andrea Draghetti

Offuscamento IPv4 per attività di Phishing ai danni di Poste

Phishing

Dal mese di Ottobre 2017 i criminali informatici (Phisher) che operano in ambito Italiano ai danni di Poste Italiane stanno sfruttando la tecnica di offuscamento dell’URL di Phishing convertendo l’indirizzo IP contenuto nell’url in formato decimale. Questa tecnica, come vedremo, gli permette di eludere la blacklist di PhishTank.

La vittima riceve la seguente eMail:

Gentile Cliente,

Dal 25° novembre 2017 non potrai utilizzare il tuo conto PostePay se non hai attivo il nuovo sistema di sicurezza web.

Il nuovo sistema di Sicurezza Web PostePay e una soluzione innovativa che garantisce maggiore sicurezza e affidabilita per le operazioni dispositive con PostePay effettuate sui siti online.

Il nuovo sistema per l`autorizzazione delle operazioni di pagamento effettuate con PostePay sui siti online,prevede l`utilizzo di due strumenti:

1. Dati di carattere personale.

2. Informazioni fiscali.

L`attivazione e semplice,gratuita e richiede 1 minuto.

Le alleghiamo la documentazione necessaria per attivare la protezione.

Cordiali Saluti,

Poste Italiane

Email in cui l’utente trova in allegato un file HTML contente sole quattro righe di codice che hanno il compito di redirigere l’utente su una pagina di Phishing:

L’IP 3414353538 visualizzato nel sorgente dell’allegato non sembra a prima vista reale poiché comunemente un indirizzo IPv4 viene espresso in quattro terne XXX.XXX.XXX.XXX (dove ogni terna xxx varia tra 0 e 254). Questo potrebbe far pensare ad un errore del Phisher o all’intervento di un antivirus che ha “troncato” eventuale contenuto malevolo nella comunicazione eMail.

Ma realmente si tratta di un indirizzo valido e correttamente interpretato dai comuni Browser, infatti in base al RFC 780 gli indirizzi IPv4 possono essere rappresentati anche in forma Decimale, Binaria o Esadecimale permettendo anche la concatenazione di più rappresentazioni.

L’IP 3414353538 potrà quindi essere rappresentato come segue:

203[.]130[.]230[.]130 (formato convenzionale, parentesi quadrate da rimuovere)
11001011100000101110011010000010 (formato binario)
0xcb82e682 (formato esadecimale)

Il noto portale PhishTank dedicato alle segnalazioni di Phishing non è attualmente in grado di convalidare segnalazioni che sfruttano l’offuscamento dell’indirizzo IP. Nella segnalazione #5344072 possiamo notare come nonostante lo screenshot della pagina di Phishing sia stato acquisito correttamente non è possibile votare la veridicità della segnalazione perché la pagina web è irraggiungibile: “This suspected phishing site is unavailable…” vanificando pertanto l’efficacia di questo portale.

Assodato quindi che una non corretta validazione dell’indirizzo ip possa portare ad un errore di una applicazione (nel caso specifico un portale web) è ipotizzabile che la medesima casistica se non contemplata e correttamente gestita possa rendere inefficaci eventuali black list implementate su sistemi anti-spam/firewall.

30 Novembre 2017/da Andrea Draghetti

Phishing ai danni di oltre 30 Banche con un solo dominio Ad Hoc

Phishing

Nella giornata di lunedì 27 Novembre abbiamo rilevato la presenza di una forte attività di Phishing veicolata mediante un unico dominio creato Ad Hoc per colpire oltre 30 Istituiti di Credito Italiano.

Salvo alcune eccezioni gli istituti di credito coinvolti sfruttano la piattaforma di Internet Banking fornita dal CSE – Consorzio Servizi Bancari, ed in particolare parliamo delle seguenti banche:

Banca Agricola Popolare di Ragusa
Banca Albertini SYZ
Banca Carim (Cassa di Risparmio di Rimini)
Banca di Imola
Banca di Piacenza
Banca Dinamica
Banca Interprovinciale
Banca Popolare del Lazio
Banca Popolare di Fondi
Banca Popolare di Frusinate
Banca Popolare Pugliese
Banca Popolare Sant’Angelo
Banca Popolare Valconca
Banca Sella
Banca Sistema
BNL (Gruppo BNP Paribas)
BPER Banca
Cariparma Crédit Agricole
Cassa di Risparmio di Cesena
Cassa di Risparmio di Fermo (Carifermo)
Cassa di Risparmio di San Miniato (Carismi)
Deutsche Bank
Esagon (Credito Fondiario S.p.A.)
Extrabanca
Gruppo Banca Carige
Igea Banca
Imprebanca
SanFelice 1893 Banca Popolare
Santander
UBI Banca
Unicredit

L’intento del Phisher è quello di carpire le credenziali (username e password) per accedere ai rispettivi portali di Home Banking, non vengono attualmente richieste ulteriori informazioni come Carte di Credito, Documento o Codici OTP. Ma come abbiamo visto in passato il Phisher potrebbe aggiornare i siti cloni in corso d’opera integrando la richiesta di ulteriori informazioni a lui necessarie per completare la fronde.

E’ anche ipotizzabile che, una volta visionata la disponibilità presente sul conto corrente, il cyber criminale decida di procedere con altre tipologie di frodi: per esempio contattando la possibile vittima telefonicamente, disponendo di molti dati carpiti direttamente dal portale di internet banking, il truffatore poterebbe fingersi un operatore del call center che telefona per verificare l’effettivo ordine di un bonifico, magari tratto proprio da quelli presenti nella lista movimenti, riuscendo, una volta conquistata la fiducia della vittima (“… conosceva tutti i miei dati, come potevo immaginare fosse una frode, sapeva anche del bonifico fatto ieri….”), a farsi dare telefonicamente i codici di sicurezza con cui disporre nuovi pagamenti.

Il nuovo dominio AdHoc registrato con TLD .it sfrutta similitudini con il dominio autentico banking4you.it del CSE: l’utilizzo di un dominio molto similare a quello originale trae in inganno l’utente ed inoltre l’utilizzo del TLD Italiano impedisce un puntuale contrasto poiché il NIC Italiano non rilascia un elenco dei nuovi dominii registrati vanificando qualsiasi azione di contrasto preventiva basata per l’appunto sulle similitudini tra nuovi dominii registrati e dominio originale.

Il dominio in analisi è stato registrato a nome di una ignara Agenzia di Comunicazione e Web agency di Roma e Milano.

Di seguito potete trovare gli screenshot delle pagine di Phishing: