Phishing Vodafone con inclusione anche di pagina clone Lottomatica (6 giugno)

Poche righe per descrivere questa odierna mail di phishing ai danni di Vodafone

con link che punta a dominio EU creato in data odierna

e che utilizza probabile servizio di hosting a basso costo  con whois UK.

Gli headers in mail propongono come origine della stessa un IP su range UK

Questo il clone Vodafone  puntato dal link in mail, con i consueti campi di richiesta dati di carta di credito (anche con campi vuoti si passa alla pagina successiva senza verifiche)

Segue un login Verified by VISA 

che pero' propone Wind nel logo come se si fosse riutilizzato un precedente layout (cosa che parrebbe confermata anche dalla data indicata che non e' attuale - aprile 2013 )

Una volta immessa la password si viene rediretti al legittimo sito Vodafone

Interessante notare come lo stesso dominio sia o sara' utilizzato anche per un probabile phishing Lottomatica, come vediamo da questa pagina ospitata in un subfolder della struttura del clone Vodafone

Edgar

Richiedi la carta benzine con lo sconto di 400 euro. Ritorna ancora il phishing con il falso 'bonus' da 400 EURO (02 giugno)

Sembra che una decina di giorni sia l'intervallo di tempo usato dai phishers per riproporre questa mail 

con un falso bonus per l'acquisto carburanti.

A parte il layout praticamente identico alla precedente mails del 24 maggio, compreso l'errore sul testo  ..lo socnto... , si nota che anche il primo degli IP nell'header del source e' lo stesso (range canadese) delle 2 precedenti mail ricevute.(vedi questo post)

Anche nel caso odierno abbiamo l'utilizzo di un dominio che parrebbe gestito dal servizio di NOIP.com mentre il reale contenuto di phishing (forms e testi) e' hostato su servizio di free WEB Altervista.

Da notare come una analisi dei dati relativi all'account in questione mostra la data di ieri (1 giugno) per la creazione dell'user-name ingannevole.

Per il resto abbiamo la solita sequenza di forms e di pagine come quella fake che simula la connessione a server dedicato alle transazioni appartenente al BNL

a cui segue il form con loghi noti e campi di input per il furto delle credenziali di carta di credito.

Seguono poi varie pagine di conferma dati inseriti e login 'Verified By VISA'.

e di seguito

con 

per essere rediretti poi sul legittimo sito ENI

Come sempre particolare cura e' posta nella verifica formale dei dati inseriti (cod. fiscale, num carta di credito ecc....)

Un phishing quindi che prosegue e che parrebbe avere tutte le caratteristiche per risultare ingannevole visto l'utilizzo di riferimenti anche al Ministero dello Sviluppo Economico, a decreti legge realmente esistenti ed a nomi di note aziende italiane (AGI, ENI, BNL …..).

Edgar

Nuove inclusioni su siti di PA italiana e .GOV stranieri di links che puntano a siti porno. Probabile identica origine (30 maggio)

Sono parecchi i siti sia di PA italiana (Comuni) ma anche siti non italiani su dominio .GOV (siti governativi) che attualmente includono numerosi ed aggiornati links a siti con contenuti porno.

Si tratta di azioni create allo scopo di diffondere  i links attraverso la loro indicizzazione da parte dei motori di ricerca, cosa evidenziata anche dalla presenza nei sources di links in cui viene forzato l'attributo 'DOfollow' che indica al crawler del motore di ricerca di visitare ed indicizzare il sito a cui si riferisce il link.

Altra cosa interessante e' che tutti i siti analizzati, sia .IT che .GOV utilizzano Joomla come ambiente di sviluppo in un versione abbastanza datata mentre la struttura del codice,  uguale per tutti i casi esaminati, farebbe pensare ad una origine comune..

Vediamo alcuni dettagli:

Questo un attuale sito di Comune italiano

con whois

di cui e' evidenziato il source della pagina

 con i numerosi links (nascosti al visitatore)

che puntano a siti porno attualmente attivi

ed anche

ecc.

Chiaramente si tratta, in questo caso come negli altri che vedremo, di links assolutamente nascosti al visitatore, ma rilevabili nel codice solo dal crawler del motore di ricerca.

Deriva da cio' che e' molto probabile che detti link rimangano attivi per diverso tempo in quanto nascosti ai visitatori, ma spesso anche a chi amministra il relativo sito.

Da notare come le date delle info presenti sul sito indichino che si tratta di pagine aggiornate ed amministrate attualmente. 

Come scritto in premessa il CMS usato parrebbe essere una versione non recente di Joomla

Questa una tabella riassuntiva delle versioni Joomla esistenti tratta da Wikipedia

Come succede quasi sempre in questi casi (links inclusi in maniera nascosta a pharmacy, links a siti porno, siti di vendita merce contraffatta ecc...) non ci si e' limitati a colpire le homepages ma le pagine interessate sono parecchie.

Attraverso uno script Autoit che sfrutta una ricerca in rete, possiamo vedere come i links siano inclusi  in una notevole quantita' di pagine del sito comunale presso in esame:

con in dettaglio

Abbiamo nella prima colonna l'URL interessata, mentre nella seconda il risultato di ricerca e nella terza i dettagli del testo trovato in relazione alla chiave di ricerca.

Come si nota sono numerose le pagine legittime coinvolte tenendo anche conto che lo screenshot riguarda solo una piccola parte de risultati ottenuti.

Affinando la ricerca per i medesimi contenuti (links con attributi 'DOfollow' ) vediamo che esistono altri siti comunali coinvolti come ad esempio questo sito 

con whois

ed identica struttura del source. 

Anche in questo caso il CMS risulta essere

Altro sito simile, sempre comunale, e' questo 

dove i links puntano a siti simili ai precedenti ed e' presente l'attributo 'DOfollow'

Anche in questo caso il sito con whois 

 e' sviluppato in Joomla

Chiaramente l'inclusione di links non si limita ai soli siti italiani ma e' diffusa in rete ed in particolare pare colpire anche diversi siti governativi non italiani.

Ad esempio ecco un sito governativo del Bangladesh 

con whois 

e con inclusione di links a siti porno praticamente identica ai siti comunali IT

visti prima.

Anche in questo caso e' usato 

Vediamo ora un sito GOV delle Filippine 

con struttura di codice di pagina identica alle precedenti e whois 

ed ancora CMS

(Continua)

Edgar