Visualizzazione post con etichetta Phishing. Mostra tutti i post
Visualizzazione post con etichetta Phishing. Mostra tutti i post

martedì 22 aprile 2008

Occhio! Phishing non segnalato!

Mi è arrivato un messaggio che sembra provenire dal credito Valtellinese:

------------------------------------

Hai 1 nuovo messaggio di avviso

Si prega di accesso al tuo Gruppo Bancario Credito Valtellinese conto
e visitare la sezione Message Center al fine di leggere il messaggio.

Clicca qui per effettuare il login

© 2008 Gruppo Bancario Credito Valtellinese. All rights reserved
------------------------------------

Ovviamente, cliccando sul link si viene rediretti a una pagina IDENTICA a quella di login dell'home banking del Credito Valtellinese.
Nella realtà, basta dare un'occhiata alla barra dei link del browser per vedere che il collegamento (in chiaro) è: http://65-97-153-18.ftl.fdn.com/www.crevali.it/index.htm

Un primo esame porta direttamente a Boca Raton, città della Florida nei pressi di Miami, sulla rete di un provider chiamato NuVox (www.fdn.com).
Il tracert si ferma all'IP 65.97.153.17... Un address precedente a quello di destinazione. Suppongo che la destinazione sia dietro un firewall.
Vabbè... Instanto io segnalo.
Se vi compare questa pagina e siete disattenti... Beh, lasciate stare l'Home Banking. Fa tanto figo ma può farvi anche tanto poveri.

venerdì 14 dicembre 2007

Nuovo Phishing sulle poste...

I ragazzetti del Phishing ci stanno dando dentro.
Si... Sono ragazzetti che mandano mail simili a quelle inviate da banche ed enti, cercando di convincere i destinatari a inserire i loro dati personali in pagine Web SIMILI a quelle istituzionali... Ma in loro possesso.
I dati vengono rubati e usati per svuotare i conti dei malcapitati di turno.
Stavolta, il phishing colpisce ancora le poste italiane, con un messaggio dall'oggetto: "Misure di sicurezza il tuo account è stato bloccato!".
Il mittente risulta BPOL@bancopostaonline.poste.it [servizi.online@bancoposteonline.it ].
Ovviamente è una TRUFFA. Nessun servizio online serio manda messaggi di tono così minatorio...
Il testo, invece, è abbastanza credibile:
Caro cliente Poste.it,

Una nuova gamma completa di servizi online èdesso disponibile !
Per poter usufruire dei nuovi servizi online di Poste.it occorre prima diventare UTENTE VERIFICATO.

Accedi a Poste.it »
Accedi ai servizi online di Poste.it e diventa UTENTE VERIFICATO »

L'Assistenza Clienti, dopo aver ricevuto la documentazione e averne verificato la completezza e la veridicit provveder immediatamente ad attivare il suo " Nome Utente Verificato ". Verrai informato telefonicamente di tale attivazione.

ContactCenter
Numero gratuito 803.160 (dal lunedìl sabato dalle ore 8 alle ore 20).

© Poste Italiane 2007 contattaci privacy mappa del sito personalizza visualizzazione Partita IVA 01114601006


Caratteristica del messaggio è che tutti i link si collegano direttamente al sito di poste.it.
Tutti tranne due: quello "sotto" la scritta "Diventa utente verificato" e sotto "Accedi a poste.it".
Questi due link, NON rimandano a poste.it ma a un sito chiamato www.poste.it.omoadm.com. Per essere precisi alla pagina /bancopostaonline.poste.it/index.php.
Inutile dire che l'aspetto della pagina è identico a quella di login di poste.it e più d'uno può esserne ingannato.
Andiamo un po' a vedere cos'è il sito omoadm.com... E scopriamo che è un server negli USA (205.234.106.186) , anzi: della virginia. Di Ashburn.
Il cui nome reale è unknown186.106.234.205.defenderhosting.com.
Chi è defenderhosting.com?
Indaghiamo... Basta un Geo IP Tool qualsiasi...
Che ci dice che il server di base è www1.powervps.com, il cui IP è 205.177.13.10. Che sta anche questo negli USA, in Virginia, a Sterling. Dove c'è una delle più famose università americane... Vuoi vedere che hanno usato un server dell'università come punto di appoggio?
Seguiamo, però, un'altra rotta... E cerchiamo il server a cui viene rediretto il traffico... basta cercare l'indirizzo completo: www.poste.it.omoadm.com.
Il risultato è quello di identificare un server francese. Che strano... Ricordo che i francesi c'entravano già in queste storie di phishing...
per essere precisi, risaliamo al server 20-5-73-62.serveur-heberge.com che ha IP 62.73.5.20.
Chi è serveur-heberge.com?
Qui ci dobbiamo fermare...
Si, perché la classe di Ip assegnati a questo nome... In realtà non esiste. Servirebbero i dati del server in Virginia per capire che fine fa il traffico. Dati facilmente recuperabili dalle autorità di polizia, per andare lì e fargli il culo.
In realtà, uno strumento l'abbiamo da SECOLI... Si chiama "tracert".
Facciamo un tarcert verso quell'IP e scopriamo che i nostri dati transitano allegramente sul server di smistamento di Axinet.com per finire direttamente su quel server.
Allora... Andiamo a vedere chi cazzo è 'sto Axinet...
Ecco...
Un provider Svedese.
Però... Il computer precedente a quello di destinazione si chiama, in realtà, "feth2-1-gw1.paris-defense.axinet.com" ed ha come IP il 62.73.2.24.
Dall'Italia (da me si passa tramite la rete server di Telia.net e passando dal loro gateway verso axinet.com) si va in Virginia, si passa in Francia dove le tracce si perdono... Sulla rete di un provider Svedese... Forse tramite un maldestro tentativo di mascherare questo "fattaccio".
Chissà se le autorità faranno qualche indagine?
Io ci ho messo 10 minuti a capire che bisogna iniziare dalla comunità europea e identificare i provider coinvolti... Chissà.

Un consiglio amichevole... PRIMA di cliccare su un collegamento... Cercate di capire dove state andando a finire. pensavate di finire su qualche server di Roma? O di un'altra città italiana? No... Siete in Virginia e venite rispediti in Francia e, da lì, chissà dove...

lunedì 19 novembre 2007

Stavolta arriva Banca Sella! Ma per finta...

Mi è arrivata una nuova mail di Phising.
Questa volta ci provano con banca Sella e il rischio è alto, visto che l'italiano, questi, l'hanno studiato...
La mail recita:

"Caro cliente Sella it,Una nuova gamma completa di servizi online и adesso disponibile! Per poter usufruire dei nuovi servizi online di Sella it occorre prima diventare Utente Verificato. Accedi ai servizi online di Sella it e diventa Utente Verificato.
L'Assistenza Clienti, dopo aver ricevuto la documentazione e averne verificato la completezza e la veridicitа, provvederа immediatamente ad attivare il suo "Nome Utente Verificato". Verrai informato telefonicamente di tale attivazione. © 1996-2007 - Banca Sella S.p.A "

proprio una bella mail. Una truffa ma fatta bene, stavolta. Non è fatta da 4 sfigati stranieri con un traduttore automatico ma qui sembra esserci lo zampino di un italiano. mancano un paio di accentate e quel dare "del lei" e poi "del tu" sembra sospetto... Ma complessivamente va molto meglio delle altre volte.
Il link a cui ci si collega con un clic su Accedi, corrisponde a un server collocato nel bel mezzo della Thailandia, appartenente a quello che sembra un sotto dominio di un forwarder.

Di certo, purtroppo, qualcuno ci cadrà più facilmente...

Da parte mia spero che capitino mail più simili alle precedenti. Sono più divertenti!

P.S.:Ovviamente... alla fine dell'inserimento dei dati, si viene rimandati alla sezione sulla privacy del vero sito di Banca Sella. Io avrei fatto un sistema più carino... Alla fine avrei rimandato alla sezione in cui si spiega di stare attenti al Phishing (https://www.sella.it/banca/sicurezza/news.jsp). Tanto per fare 4 risate...

Resto dlela mia opinione: uno che ci casca. SE LO MERITA.

giovedì 15 novembre 2007

4 sfigati che fanno phishing...

Ancora SPAM.
Stavolta, però, è phishing: quel fenomeno per cui ci mandano un messaggio di posta che sembra provenire dalla nostra banca, dalle poste o dai nostri servizi online in cui, con scuse varie, ci chiedono di collegarci a un sito e di inserire i nostri dati di accesso.
Ovviamente, il sito non è quello ufficiale e i dati vengono catturati da gente che li userà, in seguito, per fregarci soldi, tempo, identità virtuali e via di seguito.
Ok... Quindi mi arriva questo messaggio... Non ho modificato nulla se non il link contenuto, che ho reso evidente ed ho evidenziato gli errori logici e grammatici.
Tanto per i distratti: l'indirizzo della banca è www.inlineanet.it, mentre quello del phishing è www.inlineanet.info.

Egregio cliente,
Legga attentamente l’informazione piùgiu:

Per perfezionare il sistema della sicurezza dei conti dei nostri investitori contro gli attentati illegittimi delle persone terze, l’amministrazione della nostra banca ha deciso di ristrutturare il sistema della sicurezza e di passare alla piattaforma del generazione nuovo che assicura il massimo livello della segretezza dei depositi. Il Dipartimento della sicurezza della nostra banca ha proposto di trasferire alla piattaforma durante il termine corto tutti i conti elettronici i quali sono serviti dalla nostra banca per decurtare tutti i rischi possibili. Se ha ricevuto questa lettera, dunque il Suo account è già registrato nel sistema. Tutto che Lei bisogna fare per attivare il margine lavorativo è andare al (a href="http://www.inlineanet.info/") http://www.inlineanet.it dopo che Lei si troverà automaticomente nella pagina principale della banca. Nel posto adeguato si deve stampare il Suo login e il password per il accesso per il conto personale. Dopo che si è convinto che è possibile operare il conto come prima senza i problemi con l’amministrazione dei mezzi finanziari, si può lasciare il margine lavorativo. Se ha dubbio durante il lavoro con il conto o non è possibile fare nessuni operazioni, è necessario urgente mettersi in contatto con il Dipartimento della sicurezza. Qualora se non è riuscito ad attivare il accesso per il conto durante 24 ore, sarà fermato parzialmente del nostro servizio della sicurezza. La fermata sarà annulata automaticomente appena che fa il accesso per il conto. Siamo sicuri che si piacerà il livello della sicurezza che vi propogniamo.
Grazie per collaborazione Dipartimento della sicurezza inLineaNet.

L'ho riportato integralmente perché è FANTASTICO.
L'inizio a base di "piùgiu", preziosa sintesi di due errori in due parole che sembra essere un piatto giapponese (Bondo, Apest, non vogliatemene...), è il preludio a una fiera di castronerie degna del miglior tentativo di parlare italiano da parte del più scemo degli anglosassoni.
Con errori di struttura che rendono incomprensibile il testo in modo da far esclamare al destinatario più stupido la frase: "Non si capisce un cazzo. Mi tocca pure chiamare la banca."
Persino la fine, con quel "propoGNamo" è del tutto inaspettata.

Al di là della evidente comicità del tentativo di questi poveri sfigati, c'è anche il picoclo dettaglio che questi hanno registrato un nome di dominio. L'indirizzo www.inlineanet.info, infatti, ha un suo record nel Whois. Ovviamente, qui viene indicato il nome di chi ha fatto la registrazione, corrispondente a un'azienda chiamata Inlinea ltd, di Carbondale, Illinois, nelle vesti di certo JaDonne Giles che ha fatto la registrazione il 13 novembre usando il provider francese GANDI sarl (www.gandi.net), mettendo il suo server in Romania (risponde all'IP 86.122.60.228).
Adesso mi chiedo... Se io, in 5 minuti, ho potuto avere tutti gli elementi per iniziare un'indagine... Quanto tempo ci vuole per identificare quel coglione che tenta un phishing di questo genere, scoprire chi è veramente e spedirgli a casa 1 corso di italiano in 10 volumi?
Perché, dico... Va bene che ci vuoi fregare i soldi. Ma, almeno impara a parlare italiano, prima. Pirla!