Ancora malware poco riconosciuto . Aggiornamento 23 novembre

Ancora numerosi i forum IT che propongono post creati solo allo scopo di diffondere links a malware.

Naturalmente con una ricerca in rete si puo' approfittare dell'opportunita' di esaminare, quasi in tempo reale, come si evolve la diffusione di questi eseguibili (una buona parte fake AV) ed avere sempre le ultime novita' in fatto di codici poco riconosciuti.

Ecco due attuali casi esaminati questo pomeriggio:

Questo il post su forum IT di Universita' italiana

con decine di links al solito fake player dal layout ben noto

e che propone un eseguibile

(poco) visto da una analisiVT

--------------------------------------------------------------------------------

Altro file exe proposto da questo forum

attraverso diversi links che alternativamente puntano a

con eseguibile

quasi sconosciuto a VT

ed anche a pagina con noto fake player

e con eseguibile che e' sempre poco riconosciuto da una analisi VT

Edgar

Pagine incluse su siti .IT (23 novembre)

AVVISO ! Ricordo che anche se alcuni links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....).

Ancora codici inclusi in maniera nascosta su siti It che propongono questi layout di pagina

ma anche

gia' presenti da qualche settimana in rete e non solo su siti .IT.

Si tratta di pagine che simulano in parte, anche vedendo la favicon , un sito Youtube.

Attraverso l'uso di referer Google e ranges IP non Thai (probabile riconoscimento dell'IP del visitatore) , si viene rediretti su sito di fake scan AV

che propone un file eseguibile

come sempre poco riconosciuto

e che se eseguito in VBOX Linux (S.O. W7) mostra

Il fatto che si tratti di inclusioni recenti viene confermato dal time di indicizzazione dei risultati di una ricerca Google che vediamo in dettaglio per uno dei siti italiani compromessi.

Edgar

Nuovamente online phishing Banca Valsabbina (23 novembre)

Chi gestisce le ben note azioni di phishing ai danni di banche la cui attivita' si svolge in prevalenza in ambito regionale ritorna oggi a prendere di mira Banca Valsabbina, come gia' successo nelle scorse settimane.

A differenza del phishing visto ieri ai danni di Banca Modenese S.p.A e che comunque dimostra molte analogie con quello odierno relativamente alla tipologia di attacco, vediamo che si e' tornati ad utilizzare per il redirect l'interfaccia file manager di Innova Studio mentre per l'host del phishing si e' nuovamente utilizzato un servizio di hosting Usa.

Vediamo alcuni dettagli, anche al riguardo del nuovo layout clone di richiesta codici personali che questa volta risulta piu' ingannevole del solito e che tenta di acquisire anche l'indirizzo mail dell'utente della banca e la relativa password di accesso.

Questo il sito con whois

utilizzato come host del codice di redirect , uploadato attraverso l'uso di Asset manager Innova Studio

Il codice di redir linka a hosting USA che ospita il clone Valsabbina

che questa volta presenta una richiesta codici di accesso piu' dettagliata.

Questa la pagina del login fasullo a Valsabbina

confrontata con la REALE pagina di login della banca online, dove notiamo la richiesta di verifica indirizzo mail e telefono.

Questo fatto potrebbe rendere ai phishers molto piu' facile tentare , oltre alla cattura dei PIN codes e della password dispositiva, anche la richiesta della mail e della relativa password, come in effetti si tenta di fare nella successiva pagina di phishing:


Chi infatti cadesse nel phishing, non troverebbe forse cosi' strano (visto che il sito originale lo richiede) fornire anche indirizzo e-mail e relativa password.

E' pur vero che viene specificato chiaramente nel testo presente
“…............ DI ENTRARE NEL LINK " IMPOSTAZIONI / DATI PERSONALI " E VERIFICARE, NONCHE' AGGIORNARE , I DATI RELATIVI ALL' INDIRIZZO MAIL ED EVENTUALE NUMERO DI CELLULARE.......”
ossia usare il menu' impostazioni e non un form presentato automaticamente, , ma come sappiamo molte volte chi naviga in rete puo' tralasciare di leggere con attenzione un testo e magari, per superficialita' o fretta, passare alla pagina seguente.

Ecco come si presentava invece nei precedenti phishing una richiesta di dati relativa a Banca Valsabbina, dove mancava il tentativo di acquisire indirizzo e-mail e password.

Inutile ricordare che l'accesso alla mail (probabilmente la stessa in possesso della banca) e alla password di accesso mail aprirebbe al phisher una serie di nuove possibilita' per attaccare il conto online di chi fosse caduto nel tranello della falsa mail Valsabbina.

Una volta acquisiti i dati attraverso il sito clone, si vine rediretti, come sempre, ad una pagina del reale sito Valsabbina.

Edgar