Phishing CartaSi (23-24 agosto)

Denis Frati pubblica sul suo blog un post che evidenzia, anche se riferito a banca non italiana, come un phishing che tenti di acquisire i codici personali di carta di credito, possa, almeno in via teorica, consentire ai pishers di sottrarre somme di denaro complessivamente rilevanti.

C'e' anche da considerare che il phishing legato invece ad acquisire credenziali di accesso alla gestione dei conti online trova sempre maggiore contrasto attraverso l'utilizzo di dispositivi hardware di generazione di codici di accesso 'usa e getta.... OTP”
E' quindi evidente come un phishing che tenti di sottrarre i codici di carta di credito abbia una diffusione sempre piu' ampia.

Questo un report delle mails ricevute negli ultimi giorni che mostrano come sia in atto una intensa campagna di phishing CartaSi

La mail ricevuta

mostra l'uso di link diretto a clone CartaSi creato utilizzando un servizio di hosting Usa molto utilizzato anche in phishing ai danni di banche locali IT

Il dominio e' stato creato in data attuale e con nome ingannevole

Le analogie con mail precedenti di phishing vedono ad esempio questa mail datata 15 agosto (vedi post relativo)

presentare sia identico layout, sia link a stesso servizio di hosting USA ma anche identico IP

relativamente ad una delle prime connessioni al sito clone, cosa che fa pensare ad una comune origine probabilmente Est europea dei due phishing.

Il clone vede un layout datato

e con questa pagina di acquisizione di credenziali di carta di credito

e successivo redirect al reale sito CartaSi su pagina altrettanto 'datata' come si nota dai contenuti

In effetti se analizziamo il source di phishing vediamo che le pagine sono state create piu' di un anno fa utilizzando il noto software di mirroring siti web Httrack.


Edgar

Phishing “Verified by Visa” (21-22 agosto)

Ricevuta nella giornata di ieri una mail di phishing “Verified by Visa”



Si tratta di uno dei tanti messaggi mail che prendono di mira il noto servizio VISA di verifica pagamenti on-line, e che presenta un testo italiano non troppo corretto.

Il link punta a clone 'Verified by Visa” su sito francese compromesso

che permette un browsing dei contenuti abbastanza esteso, tramite il quale possiamo rilevare sia la presenza di shells incluse che di un KIT relativo a questa azione di phisihng.

I nomi delle variabili nel source PHP, l'header in mail

che i contenuti di phishing parrebbero fare riferimento alla Francia come probabile origine del clone

Da notare come il source del file php che invia al phisher le credenziali eventualmente sottratte mostri anche l'invio di alcuni riferimenti in piu' (browser usato e host-name) rispetto al solito indirizzo IP

ed un ampio uso di cookies.

Edgar

Aggiornamento phishing ai danni di banche IT a diffusione regionale. Ancora Cassa di Risparmio di Volterra (19 agosto)

Sempre colpite ciclicamente le stesse banche a diffusione prevalentemente regionale, gia' interessate in passato da phishing.

Nel caso odierno, questa mail

propone un phishing ai danni di Cassa di Risparmio di Volterra attraverso link ad Asset Manager Innova Studio attualmente attivo, per la gestione dei contenuti (ed anche quindi dell'upload del redir) su sito con whois USA.


Da notare che la mail, pur con header di probabile origine dei messaggi come le precedenti ai danni di banche locali,

mostra un campo TO: che contiene (in ordine alfabetico) decine di indirizzi probabilmente presenti nella lista di nomi utilizzata dai phishers.

Si tratta di un caso particolare in quanto, queste mails, hanno, di solito, il campo TO: con uno solo o, piu' spesso, nessun indirizzo mail indicato.

Il clone e' invece ospitato sul 'consueto' servizio di hosting USA e presenta dominio creato in data attuale.

Questo un dettaglio dei contenuti del clone di Cassa di Risparmio di Volterra

che mostrano un source copia creato da tempo (vedi data presente) attraverso l'uso di HTTtrack

Edgar