'Lei ha bisogno di ricevere un pacco' Un intenso ed attuale spam a base di allegati fake DHL – FED-EX e link a file zip contenente malware.(25 gennaio)

Intensa campagna di spam che ricorda per certi versi quelle recenti di mails con links a files zip contenenti malware (vedi ad esempio qui) anche se questa volta la cura posta nel tentativo di far scaricare il codice malevolo e' sicuramente piu' elevata.

Ecco un testo 'standard' di fake messaggio DHL che ci informa di un pacco che si potra' ritirare stampando e presentando apposito form all'ufficio postale.

Evidentemente si cerca di stimolare la curiosita' di chi ricevesse la mail di spam nel tentativo di fargli aprire l'allegato, che appare come

Naturalmente il link non fa altro che scaricare da sito internet uno zip 

che contiene un eseguibile malware 

Come succede quasi sempre in questi casi, l'eseguibile e' ben poco visto dai vari software antivirus in commercio (analisi di attuale zip scaricato in data odierna 25/1)

come

Tornando nel dettaglio ai contenuti mail, abbiamo differenti messaggi mail con testo dell'oggetto che varia da 

Lei ha bisogno di ricevere un pacco

DHL Italiano corriere-3xxx@dhl.it

a

E' possibile ricevere Suo pacco.

DHL Italiano dHL-italiano-8xxx@dhl.it 

Inoltre sembrano essere inviate anche mail fake Fed EX (altra nota azienda USA di spedizioni) ma rivolte ad utenza non italiana, da quanto si puo' presumere dal messaggio allegato in inglese.

con link a file zip

Approfondendo l'analisi notiamo come, sia lo spam DHL diretto ad utenti IT, che quello Fed Ex abbia molti punti in comune a livello degli allegati.

Se infatti osserviamo come si presenta l'allegato file htm aperto in browser abbiamo la sorpresa di vedere un lungo testo nel titolo della pagina web.

Ed ecco alcun sorgenti degli allegati DHL e FedEx 

Si nota un lungo testo sempre differente per ogni file e che parrebbe estratto in blocco da libri piu' o meno noti.

La ricerca Google trova infatti piena corrispondenza dei testi con i contenuti trovati in Google Books.

La spiegazione piu' probabile e' che chi vuole distribuire il malware crei dei messaggi da allegare in mail inserendovi parte di testo ricavato in maniera random da libri e questo per rendere sempre diversi (in parte) i contenuti e sfuggire ad eventuale black-listing.

In conclusione uno spam abbastanza pericoloso per diversi motivi tra cui i contenuti curati sia della mail che degli allegati (testo random presente) ed anche il basso riconoscimento AV dei codici malevoli present nello zip linkato.

Edgar

Phishing ai danni di grandi aziende internazionali di vendita al dettaglio.(25 gennaio)

Legato alla grande distribuzione attraverso catene di supermercati, alcuni casi odierni di phishing che vedono coinvolte due tra le piu' grandi aziende a livello mondiale.

Si tratta in particolare di Carrefour, societa' francese operante nella grande distribuzione organizzata a livello internazionale (secondo piu' grande gruppo al dettaglio nel mondo in termini di reddito e vendite dopo l'americana Wal-Mart ed il primo a livello europeo) e di Tesco, gruppo di distribuzione britannico attivo a livello internazionale. (Si tratta del primo gruppo di distribuzione in UK, con piu' di duemila punti vendita e di uno dei maggiori d'Europa.)(fonte Wikipedia).

Segnalo come curiosita' che qui in Thailandia TESCO e' presente con il marchio TESCO-Lotus, con oltre mille punti vendita(numero di punti vendita, in nazioni dove TESCO e' attiva, secondo solo a quello degli stores TESCO in UK.)

Chiaramente il phishing in questione e' legato al fatto che, come accade sovente, oltre  alle attivita' di vendita al dettaglio, queste grandi aziende gestiscono pure servizi finanziari rivolti ai loro clienti e, di conseguenza, anche siti online paragonabili a quelli delle tradizionali banche (internet banking ecc...)

Ecco alcuni dettagli.

Questo un fake login a TESCO Bank su sito compromesso con IP 

La prima pagina propone la la richiesta di username

a cui segue quella di ulteriori dati personali di accesso al proprio account

Una volta confermati i dati si viene rediretti su reale pagina dell'azienda e, per mascherare meglio l,azione di phishing, viene sfruttata la pagina legittima di logOUT da TESCO Bank

facendo cosi' pensare all'utente di aver visitato il reale sito TESCO e non un clone dello stesso.

Eccoo invece un fake login a  Carrefour Banque con 

e successiva richiesta di dati personali molto dettagliata 

per terminare con la 'consueta' richiesta dei dati di carta di credito.

dopo la quale compare questo messaggio di corretta verifica dei dati inseriti.

Il fake sito e' ospitato su sito compromesso con IP 

Edgar

Uso di tools online per la creazione di 'web form' mirato ad acquisire credenziali web-mail.(25 gennaio)

Nel post di ieri abbiamo visto come i phishers utilizzino fake pagine di login a servizi di web-mail per cercare di acquisire le credenziali di accesso.

La creazione di simili pagine presuppone la conoscenza di un minimo di nozioni su come gestire form, acquisire i dati inseriti e non ultimo la disponibilita' di un hosting per i contenuti di phishing.

Generalmente vengono utilizzati siti legittimi compromessi oppure siti creati al momento usando (vedi il caso di ieri) servizi di free hosting.

Un altro sistema molto semplice ma non per questo meno efficace pare essere quello di approfittare di 'tool online' per la creazione e la gestione di forms.

Molto usato e' ad esempio il servizio di Google Docs che permette di creare un form online mettendolo in relazione con un foglio di calcolo Google Docs per acquisire facilmente quanto immesso nel form.

Il caso odierno vede una mail di spam in lingua italiana che facendosi passare per inviata da noto provider IT ha ad oggetto “Ultimo avviso Aggiorna il tuo Limite account”

Questo genere di mails informa di solito del superamento dei limiti di spazio mail-box assegnato ed invita a loggarsi al servizio mail seguendo il link presente nel messaggio.

A parte il fatto che per gestire il nostro account dobbiamo sempre  loggarci allo stesso tramite la pagina web ufficiale raggiungibile tramite l'url legittima e non cliccando su link presenti in mails di dubbia affidabilita', nel caso odierno per di piu' si viene linkati ad un form assolutamente 'ANONIMO' (solo i 4 campi di input) cosa che dovrebbe ulteriormente insospettire.

La spiegazione di un layout cosi' 'essenziale' si spiga con il fatto che il phisher ha usato uno dei tanti tools online per la creazione e la gestione di form.

Ecco un dettaglio della pagina home in lingua inglese del tool online tradotta con Google translator

Come si legge, con pochi click e' possibile creare un form e relativi codici php che invieranno i dati raccolti ad una mail, oppure scritti su file , DB ecc....

Notate anche che si spiega di copiare il codice cosi' ottenuto sul proprio 'server' (ad esempio un servizio di free hosting web).

In realta' chi ha creato il form di phishing parrebbe non essersi preoccupato nemmeno di trasferire form e codici generati su altro server ma usa direttamente il form fraudolento nel folder del sito di tool dove viene generato.

Ecco infatti il folder del sito di tool web form con un lungo elenco di form generati dai pishers.

Notate come parecchi nomi ricordino servizi web mail o di assistenza online ecc.... a probabile conferma dell'ampio utilizzo del tool in azioni di phishing

Tra i vari presenti, troviamo anche il subfolder linkato nella mail di phishing odierna

e, nel dettaglio, possiamo vedere il form linkaato dalla mail fake (con campi in lingua italiana) usato appunto per acquisire i dati.

Tra l'altro il servizio offerto dal tool mette a disposizione un viewer nel caso quanto acquisito (indirizzo mail, password ecc...) venga salvato su file e non inviati via mail e quindi possiamo trovare alcuni folders con al loro interno una 'vista' dei contenuti di login sottratti dai phishers. 

Edgar