Nuovo phishing Cariparma e Banca La Valsabbina utilizzando sempre lo stesso sito di redirect visto per Volksbank (4 maggio)

In un precedente post si sottolineava come il sito usato per ospitare i redirects a Volksbank, segnalato il 29 aprile, si stava ' dimostrando ' molto affidabile' (nessun intervento sull'Asset Manager a contrasto della inclusione dei codici di redirect dal 29 aprile da parte dei gestori del sito).

E' probabilmente per questo che i phishers (R-team) continuano ad utilizzarlo a supporto di nuove azioni di phishing.

Questo un dettaglio dell'attuale interfaccia Asset Manager Innova Studio

presente sul sito con whois

che mostra nuovi codici di redir affiancati ad altri visti nei giorni scorsi ed ora non piu' attivi.

Qui vediamo invece la mail ricevuta oggi che propone il phishing ai danni di Cariparma – Credit Agricole utilizzando appunto il nuovo redirect presente sul sito.

C'e' da ricordare che gia' nei giorni scorsi era presente un codice di pagina di login Cariparma che non era attivo per l'impossibilita' di eseguire il codice php relativo, cosa che ha spinto i phishers ad hostare il clone della banca su sito australiano compromesso.

Gli heders in mail confermano la solita provenienza da probabile server con whois francese,

Il codice di redir punta, come detto, a clone Cariparma ospitato su sito australiano (di corse di cavalli) con whois

che, ma non sorprende, utilizza ancora una volta Innova Studio Asset Manager


L'interfaccia accessibile senza restrizioni, ha probabilmente permesso sia l'upload di pagine di hacking, shells

e

e codici di mailers

nonche' il clone di phishing Cariparma in subfolder

Il php che si occupa dell'invio delle credenziali eventualmente sottratte evidenzia ancora una volta noto indirizzo mail (probabile R-Team)

Come dicevamo sempre il medesimo sito di redirect visto a partire dal 29 aprile presenta adesso anche un codice che punta a phishing Banca Valsabbina (dal noto layout)

con consueta struttura

e sul 'solito' sito USA con dominio creato di recente

per ospitare il clone del sito della banca, gia' molto presa di mira in passato.

Edgar