Phishing Banca Fideuram 27 aprile 09

Sempre molto attivo il phishing ai danni di utenti italiani e che vede oggi anche, tra le tante, questa nuova mail di phishing Banca Fideuram.

Tra l'altro osservando l'oggetto della mail di phishing

si nota una stretta analogia con l'oggetto della mail di phishing ricevuta ed analizzata sempre in data odierna ed ai danni di PosteIT.

Come curiosita' abbiamo che il link in mail

href="http://thcc.or.th/lndex.html

punta a sito Thai (da queste parti) ed evidentemente compromesso

che presenta codice che redirige su altro sito compromesso con whois USA.

La pagina di phishing e' simile ad altre gia' analizzate in precedenza

e dopo un semplice falso login punta a sito ufficiale di Banca Fideuram.

Edgar

Phishing Poste.IT 27 aprile 09 con alcune interessanti caratteristiche

Ricevuta nuova mail di phishing ai danni di PosteIT che si rivela interessante per i link proposto nel testo della mail stessa.

Questa la mail

che presenta un link diretto al sito di phishing che e' stato 'installato' su sito compromesso USA e piu' precisamente in un subfolder che e' in relazione con il Guestbook del sito stesso

Come vediamo dallo screenshot della struttura, i creatori hanno 'installato' sia un sito di phishing ai danni di PosteIT che uno ai danni di CartaSi.
Inoltre come si vede, sono presenti i relativi files zip

con il contenuto utile all'installazione dei rispettivi siti di phishing.

E' interessante notare ad esempio il contenuto del file dati compresso riferito a PosteIT

Possiamo vedere che si tratta di files datati, 2007 tranne uno, che e' poi quello utilizzato per referenziare l''indirizzo mail a cui inviare il contenuto dei dati acquisiti dal login

Come si vede e' presente una mail che potrebbe anche essere quella realmente utilizzata per trasmettere attualmente a chi ha oraganizzato il phishing i dati acquisiti in maniera fraudolenta
La data del file sender.php infatti risale solamente ad ieri.

Per il resto sia il sito PosteIt fasullo che quello CartaSi sono attivi e perfettamente funzionanti.

Anche se la mail ricevuta riguarda solo phishing PosteIt e' altamente probabile che siano in 'distribuzione' anche mails che puntano al sito di phishing CartaSi presente sul medesimo sito compromesso.

Edgar

Hacking 27 Aprile 09

Ancora siti .IT compromessi con sostituzione della homepage:

Su questo IP

con la sostituzione della home con


ed anche con pagina che presenta una semplice scritta che evidenzia l'hacking subito.

Ecco il report che evidenzia i due diversi attacchi sul medesimo IP

Questo un altro IP colpito

con la home sostituita da

ma anche da

Anche in questo caso il report evidenzia due differenti attacchi

Per finire una homepage con alcune 'scritte' che rivelano l'hacking subito

e che ha la particolarita' di essere hostata sul server della nota azienda automobilistica italiana.

Edgar