Falsi layout di blog su Servage Network UK e siti IT compromessi (aggiornamenti)

AVVISO ! Ricordo che anche se i links sono lasciati in chiaro negli screenshot, evitate di visitare i siti elencati se non avete preso tutte le precauzioni del caso (sandboxie, noscript, pc virtuale ecc....) !!!!

Gia' dall'inizio di settembre 2009 segnalavo la presenza su server UK appartenente a Servage Network di decine di siti .IT con incluse pagine con layout di blog e redirect automatico a malware.

Il numero di siti IT compromessi sempre su Servage network e' andato progressivamente aumentando arrivando a centinaia di pagine web con redirect quasi sempre su falsi AV.

Ecco alcuni aggiornamenti:

http://blog.unmaskparasites.com ha pubblicato un post dal titolo More About the Rogue Image Blogs on Servage Network… dove vengono analizzati gli ultimi sviluppi dell'utilizzo di pagine incluse che sfruttano la tecnica di SEO Poisoning per creare risultati di ricerche web che puntano a siti pericolosi.

Attualmente, una ricerca in rete porta ad individuare pagine con layout di blog riportanti data odierna

e che linkano tramite script

a probabile fake AV attualmente visto solo da pochi dei softwares presenti in VT


Una analisi dell'IP del falso scanner punta a


mentre questo un report che dimostra la struttrua utilizzata nei siti compromessi


Edgar

Phishing Cassa Risparmio di Ferrara (6 5 2010)

Ricevuta una mail di phishing ai danni della Cassa di Risparmio di Ferrara

Si tratta di mail il cui messaggio presenta sia testo (in italiano abbastanza corretto) ma anche un elemento grafico (immagine jpg)

Un esame del source della mail rivela alcuni interessanti particolari, che dimostrano come l'origine del layout della mail in questione, risalga ad alcuni mesi fa e probabilmente derivi da un phishing ai danni della Cassa di Risparmio di Parma

Possiamo infatti notare sia l'immagine jpg linkata dal sito della CR di Parma ma inoltre la presenza di un link a sito che, ricercando sul servizio di elenchi di phishing online phishtank.com dimostra essere stato utilizzato per

E' inoltre presente un link a pagina di “note legali” sempre sul sito Cariparma.

Il link in mail, se eseguito, punta a sito Usa compromesso probabilmente attraverso l'uso di assetmanager della piattaforma di sviluppo Innovastudio, presente sul sito e disponibile online


che potrebbe poi avrebbe permesso l'upload di shell comandi php che troviamo sempre sul sito

Il codice di redirect presente (tra l'altro modificato dal phisher gia' 2 volte durante l'analisi del sito)

provvede a reindirizzare la navigazione su sito di phishing CR Ferrara

ancora una volta hostato su servers Yahoo e con registrazione

Per ulteriori dettagli al riguardo ad azioni di phishing che, come questa, coinvolgono MELBOURNE IT, LTD. D/B/A INTERNET NAMES WORLDWIDE come registrar del dominio utilizzato ed InnovaStudio come piattaforma utilizzata, rimando al blog http://www.denisfrati.it/ dove potrete trovare ampia documentazione al riguardo.

Ritorno invece un attimo su quanto evidenziato dall'amico Denis sempre su http://www.denisfrati.it/?p=2197 al riguardo di alcune perplessita' sulla gestione dell'accesso ai conti on-line per privati ed imprese, tramite il sito web della CR di Ferrara

A parte il buon numero di click necessari all'accesso partendo dalla homepage della banca (bisogna cliccare piu' volte su banner animati per arrivare alla pagina di login; si poteva forse mettere direttamente i campi di login sulla home come succede in quai tutti i casi) e' interessante notare come la pagina che propone il login appare come non avere una protezione sui dati digitati (il consueto lucchetto che indica una connessione sicura).

In effetti viene indicato , tra i vari avvisi presenti sulla pagina di login, che la connessione protetta ssl e' presente solo per il form di login (ospitato in frame), come vediamo in dettaglio, estrapolando lo stesso dal contesto della pagina

ma questa particolarita' potrebbe rendere piu' facile al phisher far apparire una pagina fasulla come un originale.
Infatti, sia sulla pagina di phishing che su quella legittima della banca non appariranno, con questa configurazione del sito CR di Ferrara, avvisi di sorta relativi alla connessione sicura (il simbolo del lucchetto) cosa che agevolera' sicuramente il phisher nel creare una copia fasulla del sito.

In altre parole, chi gestisce il phishing non dovra' preoccuparsi di simulare in qualche modo una connessione SSL, visto che anche la pagina della banca non la propone nel layout originale ma solo per il form di login.

Edgar

“Attenzione ! Il tuo account e' stato congelato !” ovvero phishing CartaSI

Particolare mail di phishing CartaSi ricevuta oggi, con testo del messaggio breve ma scritto in buon italiano, cosa che farebbe pensa ad una provenienza italica per questo phishing visto anche che, sia il sito iniziale di redirect che quello finale di phishing sono hostati su servers IT.

Vediamo alcuni dettagli:

Questa la mail

che presenta un link a codice

ospitato su server con IP appartenente a hoster IT

Il successivo redirect punta a server Usa,

su sito compromesso, dove troviamo un ulteriore codice


Dal sito USA si viene rediretti nuovamente su server .IT

dove risiede la pagina di phishing CartaSI

Interessante notare che cliccando sul link in mail , ed utilizzando l'attuale IP Thailandese, della mia connessione , un report Fiddler, conferma l'impossibilita di visualizzare il sito di phishing, proponendo un indirizzo web inesistente

Il sito di phishing viene invece proposto correttamente utilizzando una connessione proxy che simuli IP di provenienza del visitatore della pagina ad esempio dall'Italia.


Inoltre esaminando i dati relativi alla registrazione del dominio su cui e' ospitato il phishing ( parte di una url costruita dal phisher in maniera altamente ingannevole) si scopre che lo stesso parrebbe essere attribuibile ad azienda realmente esistente e non presentare nominativo di fantasia, come succede spesso in casi simili, e questo potrebbe significare che anche il sito finale e' stato compromesso

Edgar