Phishing UNICARD (5 settembre)

Lo stesso sito che supportava, tramite Innova Studio Asset Manager,un recente phishing Cariparma, vede ora la presenza di codice di redirect a clone Unicard.

Questo un dettaglio del redirect su Innova Studio

presente su sito con whois


gia' visto il 2 settembre per phishing Cariparma


Il clone UNICARD e' presente sul consueto dominio creato in data attuale

e sempre su servizio di hosting “USA” e getta.

Edgar

Phishing CartaSi e Lottomatica con probabile fonte comune (5 settembre)

Si tratta di alcune mails di phishing ai danni di CartaSi

e di Lottomatica


ricevute in data odierna ed entrambe con allegato form 'fake' che vediamo per la mail CartaSi


e per quella di phishing ai danni di Lottomatica.

La particolarita' e' la fonte comune del phishing identificabile verificando il percorso al codice php che consente ai phishers di acquisire i dati digitati nei fake logins.

In entrambi i casi abbiamo infatti sia per CartaSi

che per Lottomatica

lo stesso sito compromesso con whois

e svilupato in

che ospita i codici php..

Inoltre ad ulteriore conferma di fonte comune del phishing, una analisi degli headers in mail mostra sia per CartaSi

che per il phishing Lottomatica


lo stesso IP di probabile origine dei messaggi.

Edgar

Phishing Cariparma (2 settembre)

Un dominio creato da qualche giorno

e che sino ad oggi era rimasto 'inutilizzato' da parte dei phishers, propone ora un clone Cariparma con questa struttura.

Da notare la data attuale riferita al folder che ospita i due codici.
Potrebbe trattarsi di una messa online di codici di phishing in attesa dell'invio delle relative mail che verrebbero inviate nelle prossime ore.

Aggiornamento (2 settembre)

A pochi minuti dalla pubblicazione del post, Denis Frati mi segnala uno dei redirect che puntano al clone Cariparma analizzato ora.

Si tratta di sito con whois


che, al solito, utilizza Innova Studio A.M. Per la gestione dei contenuti (e naturalmente del phishing)

Si puo' notare come i phishers abbiano anche uploadato sul sito di redirect, una copia del clone Cariparma visto prima, clone che comunque non e' attivo in quanto il codice php non risulta eseguibile.

Edgar