Siti compromessi IT (agg. 2 dicembre)

Attualmente online diversi siti IT che presentano l'inclusione di questa pagina di hacking


oppure

In entrambi i casi, ed in altri siti compromessi attualmente presenti online, si nota che e' il codice di hacking e' incluso sempre nel medesimo folder, fatto dovuto alla presenza in tutti i casi analizzati , di piattaforme di Commercio Elettronico di cui vediamo le pagine di login

ma anche

Alcune ricerche in rete portano infatti ad evidenziare vulnerabilita' di Remote File Inclusion ( Remote File Upload ) per versioni non recenti del software di Commercio Elettronico utilizzato nei siti visti ora.

Sono inoltre presenti on-line interfacce configurate per il loro utilizzo senza richiesta di login come vediamo da questo screenshot

In questo post del mese scorso una delle piattaforme di commercio elettronico viste ora e' anche presente in sito compromesso di phishing ai danni di Banca Italiana.

Edgar

Phishing ai danni di banche IT. Aggiornamenti e nuova banca attaccata dai phishers (2 dicembre)

Sempre attraverso l'analisi dei codici di redirect presenti in rete su siti che usano Easy Content f. m. ecco alcuni aggiornamenti che vedono oltre alla conferma di B.P. Spoleto anche 'Banca del Piemonte entrare nella lista di quelle colpite dal phishing.

Questo il redirect a 'Banca del Piemonte'

che punta a questa pagina di login

a cui segue la consueta richiesta codici PIN e password dispositiva, per poi essere trasferiti sul reale sito della banca.

Un altro redirect, su differente sito con Easy Content f. m. Punta invece a clone Banca Popolare di Spoleto ,

di cui vediamo parte della struttura, con date recenti dei files

Entrambi i siti clone sono ospitati sul medesimo dominio di noto servizio di web hosting USA.

Edgar

Phishing ai danni di banche IT. Continuano gli 'aggiornamenti' con due novita' (1 dicembre)

La verifica dei codici di redirects che vengono utilizzati a supporto del phishing ai danni di banche IT con utenza sopratutto a carattere regionale,continua a proporre sempre nuovi scenari sia come links (e siti utilizzati per ospitare le pagine clone) ma anche per la presenza di nuovi riferimenti ad altre banche sia italiane che estere.

Ecco quindi la situazione attuale ottenuta analizzando i files di redirect presenti in rete (ore 1 PM thai)

Banca Valsabbina

Ecco i files di redirect aggiornati

che puntano sempre al consueto sito di phishing su servizio di web hosting USA.

La novita' e che, da una analisi dei logs, si scopre che lo stesso sito e' ora utilizzato per hostare phishing ai danni di HMRC

HMRC

(da Wikipedia : Her Majesty's Revenue and Customs (HMRC) is a non-ministerial department of the British Government primarily responsible for the collection of taxes and the payment of some forms of state support.)

Si tratta di un dipartimento del Governo Inglese per la riscossione delle imposte ma anche di erogazione dei rimborsi, la cui pagina di login e' stata clonata ed e' ospitata sul medesimo dominio utilizzato per il phishing Valsabbina

Da quanto si puo' vedere dalla sequenza dei form presentata si tenta di acquisire dati personali e numeri di carta di credito attraverso

1) La presentazione del modulo di ricerca dello 'stato attuale' della procedura di rimborso che ci riguarda

2) una volta confermati i dati viene proposta una attesa di qualche secondo onde simulare la ricerca in corso


3) Si viene informati di un rimborso a nostro favore, che attende di essere erogato e vengono chiesti i dati personali e della carta di credito per accreditare la soma sul nostro conto bancario.


Banca Popolare di Spoleto

Oltre a questo nuovo phishing, esaminando un altro sito, sempre contenente Easy Content F.M. abbiamo la sorpresa di trovare oltre al codice di redirect visto ieri, anche un nuovo redirect ma questa volta alla Banca Popolare di Spoleto

che dalla pagina clone della home

permette di accedere alla richiesta credenziali di login


ed anche questa volta oltre ai codici PIN anche della mail e relativa password di accesso alla stessa.

Edgar