US Airways Spam. Intensa campagna di mail di spam con link a malware (5 aprile)

Attualmente rilevata in rete una intensa campagna di spam con link a malware che sfrutta una mail con oggetto e testo relativi alla nota compagnia USA, US Airways.

Questo un esempio del messaggio in mail :

…..............You should check in from 24 hours and up to 60 minutes before your flight (2 hours if you're flying abroad). After that, all you have to do is print your boarding pass and go to the gate..............

mentre ecco alcuni dei testi presenti come oggetto:

US Airways online check-in.
US Airways reservation confirmation.
US Airways online check-in confirmation. Please confirm your
US Airways online registration.

Seguendo i links proposti si viene portati su pagine come questa


dal molto noto layout relativo a distribuzione di malware black-hole

e che e' stato descritto QUI nel blog

In questo caso si tratta quindi di messaggi mail che, pur essendo rilevati anche da siti che trattano di phishing, sono sicuramente riconducibili ai consueti metodi di distribuzione malware attraverso links a siti web compromessi.(tra cui anche parecchi IT – vedi precedente post)

Edgar

Aggiornamento phishing (5 aprile)

Poche righe, per confermare come prosegua 'normalmente' il phishing ai danni di utenti IT della rete.

Quello che vediamo e' un asset manager utilizzato dai phishers in data odierna (5 aprile)

locato su server

che vede la consueta gestione dei redirects a clone online, tramite codice php con doppia estensione

Naturalmente oltre che al codice di redirect, l'asset manager propone anche alcuni contenuti php utilizzati dai phishers a supporto della loro azione, quali ad esempio questa shell:

Questo invece l'altro asset manager che gestisce il clone della banca


su server

ed i cui codici php presenti evidenziano sempre gli stessi personaggi gia' molto visti in passato nella gestione del phishing ai danni di utenti IT

Edgar

Semplice ma anche probabilmente efficace tentativo di furto di credenziali di carta di credito ai danni di utenti IT. (5 aprile)

Esaminando le centinaia di casi di phishing analizzati da questo blog da qualche anno, abbiamo quasi sempre visto, layout piu' o meno complessi di pagine o di interi siti di banche, aziende ecc... spesso clonati dal sito originale, nei minimi particolari.

Quello che invece propone la mail ricevuta in data odierna e' completamente l'opposto di quanto visto in passato ma, nella sua semplicita', questo phishing potrebbe dimostrarsi molto efficiente nell'acquisire dati personali di Carta di credito.

La mail ricevuta mostra infatti la grande 'fantasia' dei phishers nell'attuare tentativi di furto di credenziali di carta di credito.

Ecco i dettagli:

Questa la mail

dal testo in un buon italiano, che NON presenta allegati form, links, anche mascherati da testo ingannevole, a pagine clone o comunque riferimenti a form online da completare per ottenere un 'bonus' da 30 Euro

Dopo la prima perplessita' nel non trovare un layout noto in simili azioni di phishing, e leggendo meglio il testo della mail, si scopre questa frase

…................ Per riscuotere la somma dovra' premere "Rispondi" e completare i campi che lei trovera' in basso. …......

cosa che spiega, come detto, l'assenza di qualsiasi link o allegato.

In pratica si invita a 'rispondere' alla mail attraverso un messaggio che avra' i dati richiesti come da elenco proposto alla fine del testo mail:

Codice Internet:
Pin Internet:
Password Internet:
Codice di Attivazione:
PUK:
Data di Nascita (gg/mm/aaaa):

In definitiva un sistema che nella sua semplicita' potrebbe anche rivelarsi efficiente nel sottrarre dati personali di Carta di Credito, e questa volta, senza costringere i phishers a creare siti clone, gestire redirect, forms online o allegati ecc..

Da notare anche che come conseguenza di un layout tutto sommato abbastanza anonimo, i phishers hanno pensato di indicare non un solo riferimento a banca od azienda ma diversi nomi

xxxxxxxxCard, xxxxxxCard Easy, PayPal, StarsCard, MetrebusCard e AS xxxxxx Club Privilege


tra cui anche PayPal, indicando in dettaglio come acquisire i dati richiesti da indicare in mail

Per la Carta PayPal il Codice di Attivazione e' riportato anche sul retro della Carta, sotto al codice a barre.
Si ricorda di inserirlo interamente, inclusi gli zero.

Questi gli headers della mail ricevuta

Edgar