In allegato fattura prenotazioni con carta di credito. Nuova ingannevole mail con link a malware (14 novembre)

Si tratta dell'ennesima mail che tenta di far scaricare ed eseguire un file con contenuti malware.

La particolarita' di questo nuovo caso e' la notevole 'fantasia' dei creatori del messaggio fake che, questa volta, non utilizzano il solito generico testo relativo a fotografie o documenti da visualizzare che ci riguarderebbero ma una prenotazione presso un Bed & Breakfast situato in una nota citta' italiana.

In pratica per convincerci a visionare la ricevuta della fake prenotazione, che avremmo pagato con carta di credito, e' stata creata questa mail dal testo ingannevole

che fa riferimento ad una attivita' di Bed & Breakfast realmente esistente e di cui vediamo la homepage

La mail riporta il reale indirizzo del  Bed & Breakfast cosi' come i numeri di telefono e la mail.

Anche il link visualizzato viene proposto come puntare al sito legittimo.

L'Ip presente nell'header mail e' romeno

mentre l'host del file zip e relativo file .scr eseguibile sono su sito compromesso 

con, pure in questo caso,  whois con IP romeno.

Il contenuto del file zip linkato in mail mostra il 'solito' file .scr (formato di file eseguibile usato anche recentemente QUI)

Il messaggio mail potrebbe quindi risultare molto ingannevole proprio per il fatto che ci si riferisce ad una reale attivita' commerciale

Di conseguenza chi riceve la mail potrebbe credere che che si tratti di contenuti legittimi, e cliccare sul fake documento presente nel file zip, con tutte le conseguenze del caso.

Fortunatamente, a distanza pero' ormai di ore dalla probabile messa online del malware, il riconoscimento dei contenuti pericolosi da parte dei piu' diffusi  softwares Av, risulta elevato.

Rimane comunque possibile che, nelle prime ore della 'distribuzione' delle fake mails, il file malware non fosse riconosciuto in maniera estesa, come accade spesso in questi casi.

Un effetto collaterale di questo genere di spam malware, se la mail e' stata distribuita estesamente, potrebbe anche essere un elevato numero di richieste di 'chiarimenti' da parte di utenti Internet nei riguardi di chi gestisce il Bed & Breakfast, coinvolto suo malgrado nello spam odierno.

Edgar  

Foto. Inviato dal mio Nokia 6185i. Nuova distribuzione mail con allegato malware (5 novembre)

Nuovamente attivo lo spam malware ai danni di utenti IT della rete.

Si tratta di mail con allegato in formato .ZIP contenente file eseguibile .scr e, caso particolare, anche un file di testo .txt

Altra cosa rilevante gli headers mail che vedono la presenza di soli IP italiani.

Ecco i dettagli:

Questa la mail 

dal tipico layout per questo genere di spam malware, con piu' di un destinatario e con allegato ZIP

L'oggetto mail ed il testo del messaggio, come succede in questi casi, cercano di proporre il file allegato come una foto scattata utilizzando un telefono cellulare.

Interessanti gli headers mail che mostrano IP tutti italiani

Questo invece il contenuto del file ZIP

dove si nota sia il file  photo.scr ma anche, cosa insolita, un file .TXT 

il cui contenuto ribadisce che l'allegato e' una fotografia.

L'inclusione del file testo e' fatta  probabilmente per cercare di ingannare meglio chi ricevesse la mail ed indurlo a cliccare sul file eseguibile .scr.

Ricordo invece, che l'estensione .SCR e' stata associata da Microsoft a contenuti di Screen Saver ma poiche' il file .SCR e' a tutti gli effetti un eseguibile questo tipo di file e stato usato, specialmente in passato, come mezzo di diffusione di malware

Da notare che una analisi VT vedeva nelle prime ore della comparsa online della fake mail, un riconoscimento  estremamente ridotto dei contenuti malevoli.

Dopo qualche ora una analisi VT mostra un maggiore riconoscimento, anche se alcuni noti Av, al momento non evidenziano la minaccia.

Da notare come, ancora una volta, l'utilizzo di una semplice mail con allegato file eseguibile, potrebbe essere molto efficace nella possibile diffusione di malware, sia perche' nella sua semplicita' il testo del messaggio mail risulta essere estremamente ingannevole, ma anche a causa del basso riconoscimento AV, specialmente nelle prime ore di diffusione della fake mail.

Edgar

Farmacie di turno con ampia scelta di viagra e derivati. Un 'divertente' caso di Pharmacy Hacking (1 novembre)

Sempre molti i casi di pharmacy hacking ai danni anche di siti IT.

Ricordo che per  Pharmacy Hacking si intende quel genere di hacking che colpisce siti legittimi attraverso l'utilizzo  di codici inclusi che generano nelle pagine web riferimenti di testo e links anche automatici (redirects), a siti di vendita online di medicinali soprattutto viagra e derivati.

L'odierna particolarita' e' che, probabilmente in modo del tutto casuale, e' stato colpito un sito IT

che tra le varie pagine legittime propone quelle relative ad indirizzi ed orari di apertura di farmacie 'di turno'

Capita cosi che la ricerca in rete propone 

che a prima vista potrebbe essere anche un risultato legittimo....

In realta' ci vuole poco per capire che e' l'ennesimo caso di sito compromesso da azione di pharmacy hacking.

Ecco infatti, che una pagina legittima linkata dalla ricerca

se attiviamo un user agent relativo a motore di ricerca, ci appare come

con decine di links collegati a vendita in rete di viagra e derivati.

Una analisi del source, quando e' attivo l'user agent Googlebot, 

evidenzia come ci siano links ad altri siti compromessi non italiani ma anche ad ulteriori pagine del sito IT con lunghi testi di pharmacy in lingua italiana, che alterano il layout legittimo.

Poiche', in questi casi, si tratta di links e' testi visibili solo se le pagine sono visionate quando e' attivo un User Agent di motore di ricerca, e' probabile che links e testi di pharmacy rimarranno presenti sul sito compromesso per diverso tempo. 

Edgar