Mail di phishing UBI BANCA

Ricevuta mail di phishing ai danni del Gruppo Bancario italiano UBI BANCA.

Il messaggio linka a falso sito su server con whois in Hong Kong

Il sito di phishing e' rimasto online solo qualche ora; al momento non sembra piu' raggiungibile ed anche il dominio su cui era ospitato e' offline.

Il sito ufficiale di UBI BANCA, a questo indirizzo web, evidenzia il problema phishing mostrando tre differenti layout di falsa mail tra cui compare anche quello del messaggio ricevuto oggi e fornisce alcuni consigli pratici su come evitare di essere vittima di queste truffe.

Edgar

Phishing Poste IT 2 aprile 08

Nuova mail di phishing Poste IT :

---------------------------------------------------------
Caro cliente stimato,

Recentemente abbiamo determinato che il calcolatore differente
avesse annotato nel vostro client di operazioni bancarie in linea
ed i guasti multipli di parola d'accesso erano presenti prima degli
inizio attivitа.

Ora abbiamo il bisogno di riconfermare le vostre informazioni di
cliente a noi. Se questo non и completato all'interno di 48h, saremo
costretti a sospendere il vostro cliente mentre puт essere comrpomesso.

Vi ringraziamo per la vostra cooperazione in questa materia.
Accedi prego al seguente collegamento per completare la verifica:

https://bancopostaonline.poste.it/bpol/CARTEPRE/formsLOGIN.aspx/ (link reale = http://gpar.org/posteverificare/posteverificare/bancopostaonline.poste.it/bpol/CARTEPRE/) Grazie per la vostra attenzione del promt a questa materia. Capisca prego che questa и una misura di sicurezza significata per contribuire a proteggere voi ed il vostro cliente. Chiediamo scusa per eventuali inconvenienti. Se scegliete ignorare la nostra richiesta ci non lasciate scelta ma temporaneamente sospendere il vostro cliente. Grazie di utilizzare Poste.it
----------------------------------------------------------

Penso che mails come questa non dovrebbero creare grossi problemi di phishing in quanto il testo e' veramente scritto male e facilmente identificabile come fasullo.

Il falso sito di Poste IT e' online su server con whois USA ed e' ospitato sul sito, probabilmente compromesso, http://gpar.org/ che si occupa di compravendita di immobili.


Edgar

Pesce d'Aprile

La tecnica di utilizzare ricorrenze per cercare di trarre in inganno chi naviga in internet continua.
Il primo di Aprile, per gli inglesi April fool's day, viene ora utilizzato dalla nuova variante della pagina Storm Worm comparsa appunto in rete in coincidenza del primo di Aprile.

Il sistema usato e' il solito, cioe' mails con testo che propone di vistare un sito creato appositamente e che viene linkato tramite un indirizzo IP variabile ad un computer compromesso dal noto StormWorm.

Un esempio del semplice testo :

Doh! April’s Fool. http://xx.121.253.168/

Questa la pagina che appare seguendo il link e che propone diversi files malware.


Questi i nomi dei files

Il file sony.exe e' sempre presente in tutte le varianti delle pagine StormWorm da molto tempo ma non ne e' mai stato proposto il download mentre gli altri 3 files sono scaricabili tramite i vari links presenti in pagina.
A parte i diversi nomi si stratta sempre del medesimo codice che , come sempre quando compare una nuova variante di StormWorm , non viene riconosciuto dalla maggior parte degli antivirus.

Una analisi con Anubis dimostra che il worm, una volta in esecuzione e' molto attivo nel creare diversi eseguibili.


Uno dei primi e' costituito da "aromis.exe" nella cartella c: \ windows a cui seguono tentativi di collegamento al server attraverso varie porte ed anche la modifica delle impostazioni del firewall. Questi primi passaggi sembrano insoliti rispetto ai precedenti comportamenti di StormWorm.
Questo il codice della pagina dove si notano i vari files linkati


Come sempre l'utenza a cui si rivolge questo tipo di spam con link a malware e' principalmente quella USA o comunque di lingua inglese vista la natura dei messaggi di mail e delle pagine proposte..

In ogni caso, rimane interessante notare come la diffusione di StormWorm e relativa botnet siano sempre ben attive nonostante le notizie di un po di tempo fa dove sembrava che ne fossero stati individuati i responsabili.


Edgar