Ritorna il phishing ai danni della nota societa' francese EDF - Électricité de France (12 ottobre)

Gia' visto qui, ritorna online un phishing ai danni della societa' francese EDF (Électricité de France - azienda produttrice e distributrice di energia elettrica in Francia).

Si tratta ancora una volta della dimostrazione di come i phishers cerchino sempre nuovi obbiettivi da colpire selezionandoli tra quelli che dovrebbero assicurare una vasta 'utenza' da colpire.

Non c'e' di meglio quindi che un phishing ai danni di grandi compagnie di servizi come ad esempio la francese  EDF.

Ecco come si presentano i forms fake di acquisizione dati personali che ha partire da questa fake pagina di attesa con animazione

propongono  sia l'acquisizione dei dati anagrafici

che di quelli bancari

per terminare con il  redirect al legittimo sito EDF

Il tutto e' giustificato, nelle fake pagine, da testo che informa dell'utilizzo dei dati 'raccolti' al fine di gestire il contratto con l'azienda, il pagamento di bollette  ecc.....

Stranamente l'IP di hosting di questo phishing, pur trattandosi di attacco ad azienda francese, risulta su server FR (Francia)

 cosa che contrasta con la maggior parte dei phishing analizzati nei quali vengono utilizzati servers e siti compromessi locati in nazioni diverse da quelle dove risiedono gli obbiettivi da colpire. 

Vediamo ora qualche dettaglio su come viene gestito questo phishing ed in particolare quello dell'uso della generazione di un folder specifico ad ogni accesso al fake sito, folder che conterra' copia del clone EDF.

Lo scopo di questa procedura, peraltro gia' vista in altri casi di phishing (vedi QUI), e' quello di creare un percorso alle false pagine con nomi sempre differenti, cosa utile al contrasto della messa in blacklist dell'indirizzo di phishing.

Uno dei modi piu' semplici per analizzare nel dettaglio cosa eseguono i vari codici php presenti nel phishing EDF,  e' quello di installare il KIT di phishing (reperito online), in un ambiente di test che usa server WEB Apache in Linux.

Questo screenshot mostra chiaramente come al lancio del sito di phishing (in locale) vengano creati i folders con nome random (un nuovo folder ad ogni run del file index.php)e con contenuti copia del''originale' folder denominato 'loging' ed, inoltre, come venga incrementata la variabile contatore su un file 'di servizio' txt.

In dettaglio vediamo la pagina del form dati personali il cui percorso (evidenziato in azzurro) corrisponde al relativo folder creato.

Questo il semplice codice del file index.php

con sommariamente evidenziate le funzionalita' delle varie parti che lo compongono.

Naturalmente non poteva mancare, tra i vari PHP, anche la gestione dei dati sottratti con l'invio via mail (2 webmails) delle credenziali acquisite dai forms.

Edgar

Distribuzione malware. Aggiornamenti (11 ottobre)

Vediamo due casi di distribuzione malware attualmente online.

Il primo e' un classico esempio di messaggio mail con allegato zip che contiene un eseguibile fatto passare per pdf.

Questa volta sembra che l'utenza Internet da colpire sia quella IT visto che, sia il messaggio che il nome del file malware sono in lingua italiana.

Ecco il dettaglio del messaggio mail che fa riferimento alla nota azienda di spedizioni DHL

-----------------------------------------------------------------------------------------------------

Un errore nel recapito della consegna.

DHL Italiano italiano@xxxxxx.it 

Caro cliente, 

Il corriere della nostra societa non e riuscito a consegnare il pacco a Suo indirizzo. 

Motivo: Lerrore nellindirizzo della consegna. 

Lei potra personalmente ricevere il pacco presso Suo ufficio postale. 

Alla presente lettera e allegato il documento postale. 

Lei ha da stampare questo documento per poter ricevere il pacco nellufficio postale. 

La ringrazio. 

DHL Italiano. 

-----------------------------------------------------------------------------------------------------

Come si vede si tratta del consueto testo che tenta di ingannare chi ricevesse la mail facendogli aprire l'allegato fake pdf

 che se cliccato, mandera' in esecuzione i contenuti malware.

Anche l'icona, oltre che al nome del file eseguibile,  tenta di farlo 'passare' per PDF

Una analisi VT mostra, come succede spesso in questi casi, un riconoscimento basso dei contenuti pericolosi

con

Tra l'altro possiamo notare come l'eseguibile venga visto da VT come un file con differente  nome anche se con caratteristiche simili.

Il riferimento non e' alla nota azienda di spedizioni internazionali ma ad un ticket che dovrebbe riguardare la compagnia aerea USA, Delta Airlines.

Evidentemente chi distribuisce il malware ha ridenominato il file adattandolo per una utenza italiana della rete.

Il  secondo caso e' invece quello relativo a fake pagina di setup Adobe Flash Player

Si tratta della ennesima distribuzione di malware attraverso un falso file di update che viene proposto in automatico.

Anche in questo caso rileviamo un basso riconoscimento dei contenuti malware

con

Interessante notare come per il redirect al clone, venga utilizzata una tecnica molto diffusa anche in casi di tradizionale phishing, e precisamente l'utilizzo di subdominio che punta a diverso IP rispetto al dominio presente nella url.

Se infatti esaminiamo il dominio della pagina fake, troviamo che propone questa azienda agricola USA

con  diverso IP rispetto a quello del subdominio che punta al flash update fasullo

Questo un dettaglio dei DNS records  

dove vediamo i due ip coinvolti (fake flash page e url dell'azienda agricola USA.)

Una delle possibilita' e' che chi vuole distribuire malware abbia avuto accesso al pannello di configurazione dell'hosting creando un nuovo  subdominio che punta a differente IP

Questa una semplice demo presente su pagina di help di hoster usa  che mostra come utilizzando semplicemente il pannello di controllo, si possa attivare un subdominio che punta a differente IP (subdominio support.example.com di example.com)

Edgar

Continua la presenza on-line di cloni di false pagine di login a servizi webmail (10 ottobre)

Sempre molto elevato il numero di fake pagine di login a web-mail  che tentano di acquisire le credenziali di accesso al servizio di posta elettronica .

Quella che vediamo nello screenshot e' una pagina attualmente on-line

 su server con whois

Il falso login viene presentato come un aggiornamento del nostro account e presenta una particolare cura, una volta confermati i dati personali,  nel redirect al legittimo sito del servizio webmail usato.

Accendendo infatti al falso login con differenti email la pagina finale a cui si viene rediretti e' quella   relativa del domino presente nell'indirizzo mail.

Ad esempio con mail tiscali.it 

abbiamo un reindirizzamento

 a questa pagina

mentre con mail gmail si viene rediretti su 

Lo scopo di questi redirect selettivi,  gestiti dal dominio presente nell'indirizzo mail, e' evidentemente quello di rendere maggiormente ingannevole il fake login, facendo credere di aver utilizzato una reale pagina legata al servizio webmail che stiamo utilizzando.

Edgar