Siti IT compromessi da Pharmacy hacking. (29 luglio)

Sempre numerosi i siti IT compromessi allo scopo di distribuire links a pharmacy.

Da notare come una volta rilevato dal motore di ricerca un attuale sito IT compromesso con inclusione di codici di Pharmacy hacking

un reverse IP  sul medesimo hosting (IP di hoster tedesco anche se si tratta di siti IT) 

e l'uso di script Autoit, con User Agent come Google Bot, 

mostrano decine di siti IT tutti con il medesimo problema.

Qui alcuni screenshot dei siti colpiti 

e

mentre questo il report Autoit

che ne evidenzia l'elevato numero.

Come gia' scritto,  le homepages presentano lunghe sequenze di links e di termini di Pharmacy solo se caricate nel browser utilizzando user agent Google Bot.

Edgar

Siti IT compromessi. (23 luglio)

Una analisi di reverse IP su:

rivela numerosi siti su dominio IT che presentano inclusa questa pagina di hacking:

Ecco il report creato dal tool Autoit 

dove si nota un buon numero di siti compromessi (piu' di 30).

Questo invece un server di Regione italiana

dove un reverse IP e successiva analisi con tool Autoit mostrano alcuni siti comunali

che includono un codice html di hacking

In questo caso le date presenti negli headers delle pagine rivelano sia codici inclusi da pochi giorni, che codici che parrebbero essere stati inclusi da tempo.

In ogni caso si tratta sempre del medesimo layout di pagina con le tipiche scritte di hacking.

Come sempre siamo di fronte ad azioni di hacking che, anche se non alterano le funzionalita' dei siti colpiti (le homepages sono raggiungibili senza problemi), evidenziano comunque vulnerabilita' che potrebbero anche essere usate a supporto di phishing, distribuzione malware ecc.....

Edgar

Final Warning from Postmaster (17 luglio)

Si tratta di questa mail ricevuta oggi

dal tipico contenuto di phishing 'generico' orientato ad acquisire credenziali di login ad e-mail.

Il testo non specifica infatti un particolare fornitore di servizi e-mail ma informa di un generico  “upgrade” del nostro account (“your email account“).

La mail presenta header come

Il link punta a questa pagina su sito creato  su servizio USA di hosting a pagamento ma che parrebbe avere anche una versione free 'di prova' (notare anche riferimenti ad un filtro antispam attivato dalla registrazione).

Come si nota dal form vengono richieste le credenziali mail ma anche il numero di telefono di chi cadesse nel phishing.

Una volta inseriti i dati richiesti appare un breve testo di conferma del corretto upgrade del nostro account.

La fake mail, anche se ricevuta su indirizzo mail IT, parrebbe comunque essere orientata a colpire utenti idi lingua inglese e non rivolta a quelli italiani. 

La richiesta nel form del numero telefonico evidenzia poi la possibilita' che oltre che ad acquisire il controllo della nostra mailbox (con tutti i problemi del caso) i phishers possano attuare truffe via telefono, al limite tentando di acquisire ulteriori dati sensibili.

Edgar