Pharmacy hacking ai danni di siti italiani di P.A. (4 agosto)

La ricerca in rete di siti colpiti da pharmacy hacking porta ogni giorno a nuovi risultati e conferma l'elevato numero di siti di  P.A. Italiana compromessi.

Normalmente non si tratta di problemi che mettano in pericolo la sicurezza di chi visita' il sito colpito da hacking in quanto, quasi sempre, sono links nascosti al visitatore e visibili solo dal motore di ricerca e per di piu' abbiamo collegamenti a pagine di vendita di medicinali e non a contenuti malevoli.

In ogni caso, l'hacking rivela vulnerabilita' o comunque la possibilita' di includere codici in siti che potrebbero quindi anche essere utilizzati per diffondere malware, phishing ecc.....

Vediamo alcuni attuali casi che dimostrano anche come, effettuando un reverse IP dell'indirizzo del sito colpito, si trovino altri siti di P.A. con  contenuti di pharmacy sul medesimo server.

Una delle possibili cause di questi hacking multipli e', in moti casi, e' il fatto che piu' siti di P.A. sul medesimo server  parrebbero essere 'costruiti' sfruttando identico layout e stesso ambiente di sviluppo, cosa che permetterebbe agli hackers una volta trovato il modo di includere i codici di pharmacy su uno dei siti, di replicare l'hacking anche su quelli simili presenti allo stesso IP.

Questo un sito di parco naturale del nord Italia, 

dove si nota come come, con User Agent Google Bot attivo, il top della pagina visualizzi scritte di pharmacy, seguite da links a siti di vendita medicinali.  

In dettaglio si nota come il testo di pharmacy incluso sia in lingua italiana 

Effettuando un reverse IP sull'indirizzo del sito visto ora

e scaricando i sources con tool Autoit simulando il Bot di Google, possiamo trovare altri siti di P.A. come

ma anche 

che rivelano contenuti di pharmacy.

Da notare che si tratta di layout simili di siti comunali ed anche i links a pharmacy sono presenti con la medesima struttura.

Edgar

Pharmacy hacking ai danni di siti italiani di P.A. (2 agosto)

Si tratta di una azione di Pharmacy hacking (inclusione di links a siti di Pharmacy) che interessa alcuni siti comunali di cittadine del sud Italia.

Interessante notare che, dopo aver individuato un sito colpito, facendo un reverse IP su:

e successivo download dei source dei siti hostati, si ne trovava piu' di uno con gli stessi problemi di hacking. 

I siti colpiti  parrebbero essere tutti sviluppati in Joomla.

Anche in questo caso, come succede quasi sempre in azioni di pharmacy hacking,  si tratta di links 'nascosti' ad un comune visitatore ma evidenziati solo utilizzando User Agent relativo a Google Bot.

Ecco alcuni dettagli:

Questa la  homepage con in basso evidenziata la parte del source che contiene links e termini di pharmacy

cosi pure per altro sito (notare data aggiornata che indica sito attivo al momento)

ed ancora

Visti i riferimenti negli headers e quelli di indicizzazione di Google parrebbe trattarsi di azione di pharmacy hacking verificatasi recentemente.

Edgar

Phishing '3' (01 agosto)

Ricevute diverse mails di phishing ai danni della compagnia di telefonia mobile '3'.

"........ 3 e' il marchio con cui sono commercializzati i servizi di telefonia mobile del gruppo cinese Hutchison Whampoa. 3 opera con reti basate su tecnologia UMTS in Austria, Danimarca, Hong Kong e Macao, Indonesia, Irlanda, Italia, Svezia, Regno Unito. .........."(fonte Wikipedia)

Si tratta dell'ennesimo caso di phishing che prende di mira aziende di telefonia fissa e mobile italiane, anche se '3' non compariva in recenti casi.

Questa la mail 

con il consueto bonus.

Il logo in mail e' quello presente su sito IT che tratta di telefonia mobile

e che viene linkato dal codice in base64 che costituisce il testo del messaggio mail:

Interessante notare con le numerose mail ricevute pur essendo identiche nel layout e nel link al clone di phishing, presentino differenti headers, che hanno tutti in comune il probabile IP origine dei messaggi (IP su range UK) cosa che tra l'altro rende simile ad altri casi di phishing anche non ai danni di compagnie telefoniche, visti nei giorni scorsi.

In dettaglio abbiamo

e

e

e

ed ancora

Per quanto si riferisce al clone di phishing risulta hostato su IP USA, mentre questa e' la pagina fake

con layout ben curato e con la solita richiesta dei dati personali di carta  di credito.

Segue una pagina ben nota di 'Verified by VISA'

per passare poi al legittimo sito '3'

Da notare come si venga rediretti su pagina 'non presente' del sito di '3' cosa forse voluta dai phishers per simulare un errore nella procedura di 'registrazione' del bonus e giustificare cosi', l'ovvia assenza di un reale accredito del bonus' sul telefonino.

Edgar