Siti compromessi .IT (agg. 4 luglio)

Sono sempre presenti , a distanza ormai di qualche giorno pagine incluse

su

Come dimostra un report

il numero di siti compromessi e' praticamente lo stesso analizzato in precedenza , a conferma che quando si tratta di pagine incluse, la loro individuazione da parte di chi amministra il sito, spesso non avviene in tempi brevi.

Queste invece la pagina inclusa

ma anche, in un caso, la sostituzione della homepage (notare diverso personaggio che ha effettuato l'hacking)

per tutti i siti rilevati da un reverse IP su

Ecco il relativo report Webscanner

Edgar

Phishing BCC (agg. 2 luglio)

Ricevuta ancora una mail di phishing ai danni di BCC

di cui vediamo un dettaglio del source

dove notiamo i due indirizzi web delle immagini dei loghi presenti in mail ed il link al sito di phishing.

Una analisi della struttura del sito compromesso giapponese

che ospita il phishing

mostra la presenza di un semplice codice php di shell

Questo fatto ci permette di analizzare nei dettagli anche quella parte di codice php che si occupa, una volta effettuato il login, di raccogliere i dati personali e di inviarli al phisher per poi successivamente linkare al reale sito della banca.

Il codice ci mostra come vengano richiesti ulteriori codici ed anche il codice fiscale di chi cadesse nel tranello della falsa mail BCC

Ecco come appare in dettaglio il login fasullo sul sito clone BCC

che confrontiamo con quello reale di Banca BCC

Da notare come sul reale ed attuale sito sia presente anche un riferimento ai mondiali di calcio 2010, cosa che non appare sul phishing.

Questo avviene perche' di solito il layouts di un sito clone, viene utilizzato per diverse azioni di phishing anche a distanza di qualche settimana dal momento della sua creazione e capita' cosi ' di vedere pagine di phishing 'datate' ed anche con layout molto diverso da quello dell'attuale e legittimo sito della banca.
Questo fatto puo' essere un ulteriore elemento da analizzare quando si visita un sito di banca online e si notano riferimenti e/o date relativi ad eventi di qualche mese prima.(e' persino capitato di vedere pagine di phishing posteIT che proponevano bonus natalizi a parecchi mesi di distanza dalle ultime festivita')

Tornando al source del file che si occupa di inviare i dati raccolti possiamo vederlo in dettaglio ed in maniera piu' leggibile in questo screenshot

dove notiamo che:

- viene acquisito l'IP di chi ha effettuato il login (probabilmente per filtrare meglio login non interessanti, es. non italiani)

- viene acquisito anche il codice fiscale che potrebbe servire a supporto di azioni illecite

- e' indicata l'url che redirige sul reale sito BCC in maniera insolitamente dettagliata con un indirizzo che comprende anche una parte codificata in base64

Edgar

Utilizzo di servizio IT di hosting dinamico per linkare a malware

AVVISO ! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!!

Una ricerca in rete porta attualmente a trovare centinaia di riferimenti a siti dall'indirizzo nomesito.homepc.it che linkano in maniera automatica a fake scanner AV, dating online, ecc.......

Vediamo i dettagli:

Ecco una ricerca odierna dove possiamo notare come da qualche ora siano presenti centinaia di riferimenti a siti su dominio homepc.it

Diversamente dai normali servizi di free hosting questa volta viene utilizzato un servizio free che si occupa di creare un dns dinamico attraverso dyndns.it.

Il DNS Dinamico e' una tecnologia che permette ad un nome DNS in Internet di essere sempre associato all'indirizzo IP di uno stesso host, anche se l'indirizzo cambia nel tempo.

In altre parole, se passassimo il nostro attuale indirizzo IP Internet al servizio fornito da dyndns.it, potremmo creare una url (nomesito.homepc.it) cliccando sulla quale raggiungeremmo il nostro computer.
Una volta attivato il servizio potremmo quindi condividere files, dati ma anche un nostro sito WEB.

Chiaramente visto il nostro IP dinamico, ogni volta che ci riconnettessimo ad internet dovremmo comunicare al servizio di dns dinamico, in maniera manuale od automatica tramite un software installato sul pc, il nostro nuovo indirizzo perche' questo venga ri-associato all'url creata in precedenza.

Evidentemente la facilita' con la quale si possono registrare nuovi indirizzi web su dns dinamico ha indotto chi gestisce la distribuzione di malware a sfruttare il servizio free messo a disposizione da dyndns.it.

Come vediamo da una analisi degli ip associati ai siti creati per diffondere malware gli indirizzi variano con diversi whois USA, UK, Germania..ecc..

Per quanto si riferisce ai contenuti malware, tutti i siti tra quelli esaminati su homepc.it e dal nome come generato in maniera casuale, redirigono in automatico a pagine di falso motore di ricerca che propone


oppure

dagli evidenti contenuti dubbi se non pericolosi (notate il falso link a microsoft.com per proporre un antivirus)

Questo e' ad esempio lo scanner AV fake proposto dal link precedente

che tenta di farci eseguire

file che che esaminato con VT mostra che circa la meta' dei reali AV individua il problema

Un whois del falso scaanner AV punta a questo IP portoghese.

Edgar