Newsgroup: it.news.net-abuse
Titolo: Bancoposta : Misure di sicurezza

si oh...
Mi è arrivato il classico messaggio delle Poste italiane nell'invitarmi a 
collegarmi al sito 
http://www.poste.it/bancoposta/34d....
.. per cambiare i 
miei dati poichè qualcuno avrebbe cercato di inserirsi sul mio conto da un 
IP diverso dal mio (come se io avessi l'IP statico).
Il link al quale mi invita a collegarmi è in realtà 
www.google.mw/url?q=http://www.google.gg/url?q=http://www.google.fr.
.. 
ecc... che non mi sembra proprio il link delle poste italiane.
Due domande:
1) Ho guardato nella sorgente del testo (HTMLizzato) e non appare tale 
indirizzo. Come possono far linkare ad un qualcosa che non appare negli <A 
href> del testo ?
2) Devo denunciare sto tipo alla polizia postale o.... ?
2bis) ma fanno qualcosa o è solo tempo perso ?
grazie
Francesco autentico (non taroccato) 

 2bis) ma fanno qualcosa o è solo tempo perso ?
Si tratta solitamente di gang che operano da paesi dell'est Europa
(Romania, Macedonia, Russia, ..)
Dati gli ingenti interessi economici collegati al phishing e
il conseguente grande impegno da parte di istituzioni finanziarie
per contrastare il fenomeno, nonche' il tempo necessariamante
limitato che ognuno di noi puo' dedicare allo spam, io - come
privato - mi concentrerei su altri tipi di spam, e in particolare
riserverei eventuali viaggi alla Polpost a casi di spam italiano,
dove la probabilita' di successo e' piu' alta.  Ma ovviamente
e' solo la mia humble opinion.
furio

 2) Devo denunciare sto tipo alla polizia postale o.... ?
Segnalalo alle Poste, se vuoi. Ma gia' conoscono il problema.
-- 
Ciao!
    -DocDoc-
--- Per scrivermi: docdoc()
sertel.net
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE!     
http://www.spamterminator.it/

 parte, no?
... verso 
http://hqwyshnc.mail333.com/
  [81.211.64.117] con phishing
form a 
http://hqwyshnc.mail333.com/welcome3.html
furio

 e' solo la mia humble opinion.
qua non si tratta di banale spamming non me ne intendo ma nel sorgente html 
ci sono anche dei "cid:" che pare non siano proprio una bella cosa, poichè 
se non ho capito male anche il solo cliccare il link "consigliato" potrebbe 
essere piuttosto dannoso.
Lo spamming lo odio comunque ora il fenomeno si è molto ridimensionato (e 
toccandosi nei punti giusti anche in termini di virus/warm/...)
grazie per la risposta
Francesco 

 parte, no?
puntatore ? ehm :-I che intendi per puntatore intendi il copia e incolla 
dell'HTML ?
ciao
Francesco 

 all'indirizzo che vedi in firma.
Stasera ti ho scritto una breve email con l'allegato richiesto
ciao e grazie
Francesco 

 link "consigliato" potrebbe essere piuttosto dannoso.
Potrebbero essere dei banali link alle immagini incapsulate
nella mail...
-- 
ValeRyo 

 nella mail...
probabilmente è come dici tu ossia hanno preso le immagini del Bancoposta 
per copiare il sito ma mi domando a che serva sto cib (mai sentito) ?!?
Da niubbissimo quale sono appena inserisco nella barra delle url in Firefox 
anche solo "cib:" lancia un messaggio piuttosto inquietante
Francesco 

 toccandosi nei punti giusti anche in termini di virus/warm/...)
In realtà il fenomeno è in continuo e costante aumento....
avrai notato forse una riduzione sulla tua casella, ma in questo caso
non è il fenomeno che si è ridimensionato... è il tuo ISP che si è
attrezzato meglio :-)
-- 
Cataldo Cigliola
http://cigliola.eu.org
Il miglior browser internet ? 
http://www.mozillaitalia.org/firefox/
Il miglior client di posta ? 
http://www.mozillaitalia.org/thunderbird/


news.admin.net-abuse.sightings e' un newsgroup usato come archivio
di spam.  Una volta che hai mandato li' il campione, puoi riferirti
ad esso dando ad esempio l'URL Google che lo richiama.  Tale URL
costituisce un puntatore.
furio

 toccandosi nei punti giusti anche in termini di virus/warm/...)
Non lo vedo affatto ridimensionato; diciamo che dalla primavera 2004
si e' assestato a un livello tra il 70 e l'80% del traffico mail
complessivo  (non c'e' ovviamente un valore esatto - dipende dal
punto di osservazione).
Chiaro che - come gia' osservato - lo spam che arriva nelle mailbox
puo' essere enormemente inferiore rispetto a quello che e' stato emesso,
grazie a tecnologia e politiche di blocco/filtraggio; quindi e'
comprensibile che l'utenza possa percepire il fenomeno come in
riduzione nel momento in cui l'ISP che usa effettua delle migliorie.
furio

 nella mail...
Senza condizionale, SONO i link ad immagini contenute nella mail stessa. 
Solitamente sono fatte cosi': "<IMG SRC=cid:varieschifezzecasuali>"
Ma non si "cliccano" nel senso che servono solamente per far capire al 
programma di posta che quell'immagine (IMG) ha il sorgente (SRC) nel 
corpo dello stesso oggetto MIME (la mail e tutti i suoi allegati), il 
cui identificativo (cid) e' quella stringona.
Quello che si "clicca", e che puo' essere pericoloso, e' quello che c'e' 
nei tag "<A HREF=indirizzo>" (con tutte le "varianti" per tentare di 
mascherare il vero indirizzo).


 Stasera ti ho scritto una breve email con l'allegato richiesto
Non l'ho ricevuta, controlla se hai usato l'indirizzo giusto (quello in 
firma). Per sicurezza comprimi il messaggio (dopo averlo salvato in EML 
-e non TXT mi raccomando-) in un file ZIP e allega questo.


 
A meno di non avere un OE molto vecchio...
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Gli intellettuali sono i primi ad abbandonare una nave che affonda,
subito dopo i topi, ma molto prima delle puttane.
		-- Majakovsky

 A meno di non avere un OE molto vecchio...
A parte il fatto che parlavo del codice sorgente HTML, cosa succede con 
un OE molto vecchio secondo te?
Guarda che si sta parlando di link che all'apparenza sono normali ma che 
portano invece su altri siti, e NON di bug di OE sfruttati per fare cose 
"strane" come installare software...


"DocDoc"
Avevo spedito a webmaster-chiocciola-spamterminator-punto-it
I tuoi filtri mi sa che sono un po' troppo severi :-)
Ti rispedisco tutto zippato all'accout sopra indicato ?
Francesco 

 Ti rispedisco tutto zippato all'accout sopra indicato ?
La sua firma riporta questo:
--- Per scrivermi: docdoc()
sertel.net
Che centra 
spamterminator.it???
??
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 Che centra 
spamterminator.it???
??
ops ok come non detto :-)
Francesco 

 
Bè, visto che il post parlava di "strani tag cid nel seogente", quei tag 
li puoi anche utilizzare per veicolare eseguibili (buco dell'iframe di 
oe), quindi non necessariamente sono immagini.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Fare l'amore coi "gommini" e' come lavarsi i piedi coi calzini.
		-- Gianni Magni

 I tuoi filtri mi sa che sono un po' troppo severi :-)
Ho controllato, e non mi risulta alcun tuo messaggio cancellato dai filtri.
Comunque il secondo messaggio e' arrivato, ed e' come dicevo:
<a 
href="
http://www.google.mw/url?q=http://www.google.gg/url?q=http://www.google.fr/url?q=http://%65%%325%3%377%2577q5q%76.%%344a%%32er%%309%5%35%09/
" 
target=_blank>
Come immaginavo. Come vedi hanno usato un link che "salta" da un 
redirect all'altro sfruttando Google, per arrivare a questo indirizzo:
http://%65%%325%3%377%2577q5q%76.%%344a%%32er%%309%5%35%09/
Apparentemente non dice nulla, in realta' e' un URL mascherato 
sfruttando la codifica in codice ASCII dei vari caratteri.
Solitamente basta andare all'indirizzo:
http://www.dnsstuff.com/
e li' inserire l'URL mascherato nel box "URL deobfuscator" per ottenere 
l'indirizzo "in chiaro".
Ma in questo caso la stringa sembra non corretta, non viene decodificata 
in un indirizzo valido, forse e' gia' stata in qualche modo "modificata" 
dal tuo client di posta? Controlla nel sorgente del messaggio originale 
quale sia l'indirizzo, e prova a decodificarlo su DNS stuff.
Comunque puoi iniziare a leggere questo sito sul phishing:
http://www.anti-phishing.it/tecniche/phishing.php


"DocDoc"
Ti ringrazio molto sei stato molto disponibile.
Speriamo nel tempo riescano a risolvere questi problemi.
ciao
Francesco 

 costituisce un puntatore.
mandato, ho fatto un semplice copia e incolla del sorgente html, spero 
basti.
Poi che succede ? spero non mi rispondano poichè io e l'inglese non andiamo 
molto d'accordo :-/
ciao
Francesco