[NEWS]Phishing Poste.IT - inidirizzi server 'variabili'

[Edgar Bangkok]

29 marzo 2008

Riesaminando il link presente nella recentissima mail di phishing Poste IT

http://edetools.blogspot.com/2008/03...-sorpresa.html

c'e' la conferma che si sta utilizzando la periodica variazione del link del server che hosta il sito di phishing.
Si tratta indubbiamente di una novita' rispetto a precedenti messaggi di phishing che di solito utilizzavano un unico link a server e che rimanevano ONLINE a volte solo poche ore prima di venire messi OFFLINE.

La novita' e' che adesso seguendo il link presente nel messaggio della mail di phishing, hxxp://selner.ru//img/upl/pp/red.htm il file red.htm reindirizza su un diverso sito con whois USA rispetto a questa mattina e precisamente hxxp://www.capital-strategy.be//generator/files/sss/login.htm.

Evidentemente si sta utilizzando la possibilita' di modificare periodicamente il codice del file red.htm per servirsi di piu' server, probabilmente compromessi, su cui viene caricato il sito di phishing.

Questa operazione rende molto piu' lunga la 'vita' della mail di phishing in quanto appena un server viene bonificato dal codice di phishing si procede attivando un link ad un'altro con la sola semplice modifica al codice red.htm.

Inoltre viene ridotta la probabilita' che venga segnalato il pericolo phishing poiche' ci troviamo di fronte ad una continua variazione del dominio che hosta il sito fasullo di Poste IT.

fonte: http://edetools.blogspot.com/2008/03...steit-con.html

Edgar from Bangkok

[c.m.g]

grazie per le tue segnalazioni

[Edgar Bangkok]

Aggiornamento 29/3 ore 16.30 (10.30 it)

Adesso cliccando sul link presente in mail si viene reindirizzati sulla homepage del sito che al momento era utilizzato per hostare il sito di phishing.

Probabilmente i gestori del sito hanno preso provvedimenti bloccando la pagina di phishing in quanto anche se red.htm continua a rediriger su /files/sss/login.html (login page del falso sito Poste IT) in realta il link non funziona piu' e si viene reindirizzati sulla home page di http://www.capital-strategy.be.

Vedremo se chi 'gestisce' il phishing ai danni di Poste.IT cambiera' nuovamente link in red.htm e relativo server.

Aggiornamento 29/3 ore 19.00 (13.00 it)

Come previsto adesso red.htm redirige su un altro server, sempre whois USA, che ora ospita il sito di phishing Poste IT ONLINE e precisamente:
http://www.myinternettutor.com/websi...sss/login.html

Il subfolder usato e' sempre il solito /sss/login.html come nel precedente sito di phishing.

Continua, come si vede, il 'botta e risposta' tra chi linka il sito di phishing e chi lo mette offline.

Fino a che il link principale (whois .ru) presente in mail di phishing continuera' ad essere attivo ed hostare red.htm penso che assisteremo ancora ad altri cambi di indirizzo server.

Edgar

[Lazza84]

Che brutti xxxxxx