[NEWS] Phisher contro phisher

[c.m.g]

venerdì 25 gennaio 2008

Roma - Un sito per scaricare kit "tutto compreso", per iniziare la propria attività di furfanti del web: ma che riserva una sorpresa. Nel codice destinato a catturare le password di accesso bancario di sprovveduti navigatori, si nasconde un trucco in grado di raddoppiare i problemi dei truffati. Inviando i loro dati non ad uno, ma a due cattivoni.

Il servizio di phishing-on-demand l'ha lanciato un sito noto come Mr-Brain. Sulle sue pagine sono presenti diverse varietà di script PHP, ideali per tentare l'assalto combinato ai dati personali dei netizen via spam e siti clone. C'è un pacchetto per ogni occasione: Bank of America, PayPal, eBay, tutti possono venire trasformati in una fonte quasi inesauribile di informazioni personali.

La parte più complicata, la scrittura del codice, non è un problema per gli aspiranti truffatori: i pacchetti richiedono una capacità di programmazione davvero minima, e possono venire installati su qualsiasi piattaforma di hosting dotata di PHP. Allo sciagurato malintenzionato basta praticamente solo inserire la propria email e comprare qualche tonnellata di posta spazzatura, per vedere iniziare ad arrivare password su password.

"Peccato" che non sia il solo a riceverle: nascosto tra gli altri file, uno in particolare contiene un paio di righe codificate che mascherano una funzionalità non documentata. Per ogni vittima, per ogni pesce catturato nella rete, lo script invia i dati raccolti non ad un solo indirizzo, ma a due. Il secondo, nascosto nei bit cifrati, è quello dell'autore del malware.

Insomma, gli inventori di Mr-Brain hanno scoperto la gallina dalle uova d'oro: la parte più lunga e noiosa della truffa, vale a dire la messa in cantiere dei siti truffa e la spedizione della spam per inseguire le potenziali vittime, viene demandata a cattivoni alle prime armi in cerca di guadagno facile.

Quelli di Mr-Brain devono solo aspettare. Numeri di carte di credito, numeri di previdenza sociale, nomi, cognomi, magari le password di accesso ad un conto bancario, tutto finirà automaticamente nella loro casella di posta: un bel modo per massimizzare i guadagni, riducendo fatica e rischi. È proprio vero, non c'è onore tra i ladri.

Luca Annunziata


Fonte: Punto Informatico