Pharmacy Hacking ai danni di siti IT. Aggiornamenti (12 luglio)

Vediamo altri due attuali casi di pharmacy hacking che coinvolgono siti IT.

Il primo caso e' relativo a sito di Comune italiano di cui vediamo la homepage

Se eseguiamo una ricerca in rete con termini di pharmacy filtrando i risultati solo per il domino IT comunale otteniamo i seguenti risultati attraverso un report generato da script Autoit

ed in dettaglio 

Interessante notare come, se l'IP di origine di chi esegue la ricerca e' in range IT oppure il referer generato da Google e' bloccato usando opportuno addon Firefox, i links risultanti puntano comunque alle pagine legittime del sito.

Nel caso invece non ci sia IP italiano e il referer Google sia attivo, si verra' linkati a sito di pharmacy, tramite alcuni redirect in serie

con 

Oltre al redirect automatico a sito di pharmacy una analisi dei sources interessati mostra anche al presenza, quando il sito comunale viene visitato da bot del motore di ricerca, di alcuni links 

che puntano a pagine come questa, utili a creare ulteriori collegamenti a pagine di pharmacy.

Il secondo caso e' interessante in quanto si tratta di Pharmacy Hacking che colpisce il sito nazionale di servizio di Assistenza Fiscale collegato a nota Associazione di Lavoro italiana.

Qui vediamo i risultati della ricerca Google riassunti da un report Autoit

con in dettaglio

In questo caso si tratta non di redirect a pharmacy ma solo di alcuni links inclusi nel codice delle pagine

Da notare che se si attiva un user agent come Google Bot i links compaiono in basso nelle pagine interessate dall'hacking.

Per chi volesse approfondire l'argomento Pharmacy Hacking dal punto di vista 'operativo' segnalo questo sito dove si potranno trovare anche samples dei codici di Pharmacy.

Si tratta in pratica di codice, molto spesso offuscato, che in maniera del tutto automatica include nelle pagine web richiamate dal visitatore i links ai siti di pharmacy e/o redirige a tali siti.

Quasi sempre i codici php utilizzati eseguono verifiche sull'IP del visitatore, sul motore di ricerca usato (referer relativo alle parole chiave usate nella ricerca) e sull'User Agent (browser, bot di ricerca ecc....) con lo scopo di selezionare chi reindirizzare al sito di pharmacy e chi no.

Il fine e' sempre quello di evitare che chi normalmente visita il sito colpito o lo amministra si accorga dell'azione di inclusione dei codici di Pharmacy.

Si puo' arrivare a casi estremi in cui oltre all'User Agent es. di Google Bot vengano verificati gli IP per assicurarsi che sia realmente il noto motore di ricerca a visitare il sito per indicizzarlo e non un semplice browser che sta usando uno dei tanti addons presenti che simulano  il bot 'originale' 

Edgar

Phishing ai danni della 'Direzione Generale della Finanza Pubblica' francese (11 luglio)

La Francia e' sicuramente una delle nazioni che di piu' hanno attuato una politica di diffusione delle tecnologie dell’informazione. 

Basti pensare al Minitel che ha avuto in passato un utilizzo esteso a circa un terzo del numero totale delle famiglie francesi, e che si puo' considerare uno dei maggiori successi mondiali di attuazione di servizi online prima dell'avvento di Internet.

Negli anni ottanta questo sistema ha avuto molto successo in quanto l'apparecchio necessario veniva fornito in maniera gratuita e senza canoni di abbonamento, mentre l'unico costo da sostenere era quello della connessione, variabile a seconda del servizio scelto. 

Con l'avvento di Internet questo sistema telematico e' caduto in disuso ed e' stato eclissato dalla nuova tecnologia, pur continuando a funzionare per molti anni.

(fonte Wikipedia)

Si capisce quindi come ci sia attualmente in Francia un sempre piu' esteso uso di servizi sia pubblici che privati gestibili attraverso internet, cosa che sicuramente non sfugge ai phishers  che vedono diverse opportunita' per portare a termine le loro azioni.

Nei messi scorsi abbiamo ad esempio visto moltissimi phishing che, sotto diverse forme, hanno interessato EDF (Societa' di produzione e distribuzione dell'energia elettrica francese) Ne scrivo ad esempio QUI e QUI.

Quello che vediamo oggi e' invece un phishing che prende di mira utenti del sito della Direzione Generale della Finanza Pubblica francese.

Si tratta di phishing attualmente attivo e probabilmente gestito tramite invio di emails ingannevoli che invitano a connettersi al sito dell'Amministrazione Pubblica Francese. 

Ecco i dettagli:

Si tratta di dominio registrato ad inizio giugno

 e che e' hostato su server di noto hoster IT

Qui vediamo come appare al homepage, che naturalmente non e' stata attivata in quanto i phishers sfruttano il dominio al momento solo come hosting del clone di phishing.

Questa invece la sequenza di form proposti dal phishing.

Il primo form acquisisce dati generali

Si passa poi a questo form che mostra un buon dettaglio nell'acquisizione dei dati di carta di credito

con

Per ogni banca viene infatti personalizzato il form relativo al numero di carta di credito ed ad eventuali altri dati accessori 

oppure

Una volta confermati i dati inseriti si passa al legittimo sito 

con la homepage che vediamo anche tradotta da Google

Interessante notare come sia presente sul sito legittimo la  possibilita' di accesso ai servizi online tramite login che mostra un layout di pagina (colori, bordi ecc...) che e' stato ben riprodotto sui fake forms di phishing.

Questa la legittima pagina di login

Considerato che anche in Italia si cominciano a vedere attivati servizi per il cittadino da parte dell'Amministrazione Pubblica utilizzando connessione Internet, non e' quindi da escludere che in un prossimo futuro i phishers possano trovare spunti per attuare le loro azioni i fraudolente.

In effetti, in questi ultimi mesi, abbiamo assistito al coinvolgimento del  Ministero dello Sviluppo Economico italiano in phishing relativo a fake Carta Carburante e piu' di recente a bonus acquisti Carrefour.

Edgar

Phishing TIM (11 luglio)

Nuova mail di phishing TIM

con struttura del source simile alle precedenti (codificato in base 64)

L'header mostra come probabile origine un IP su range UK come era gia' accaduto per molte delle mails di phishing, ai danni di compagnie telefoniche IT, ricevute nelle ultime settimane.

Per l'hosting del clone si utilizza un servizio italiano su IP 

mentre il dominio utilizzato e '.IT ed e' creato nella giornata di ieri (10 luglio)

Inoltre si rileva la presenza sul sotto-dominio dal nome ingannevole del KIT di phishing con struttura identica ai KIT gia' visti in passato. (anche per Vodafone)

In particolare c'e' da notare la presenza di due folders (Poste e Lotto) che contengono ulteriori pagine clone di Lottomatica e PosteIT (per ulteriori dettagli vedi questo post)

Al momento di scrivere il post il clone non parrebbe essere attivo, nonostante la presenza del KIT necessario alla messa online dei contenuti di phishing ai danni di TIM.

Edgar