Newsgroup: it.news.net-abuse
Titolo: Nuovo phising pseudo Poste Italiane


Organization: Poste Italiane
Mime-Version: 1.0
Content-Type: multipart/related;
 boundary="= Multipart Boundary 0929060024"
X-Priority: 1 (Highest)
X-MSMail-Priority: High
X-Mailer: Microsoft Outlook, Build 10.0.6626
Importance: High
X-MimeOLE: Produced by Microsoft MimeOLE V6.00.2800.0000
X-OriginalArrivalTime: 28 Sep 2006 22:24:03.0638 (UTC)
FILETIME=[CDCC5D60:01C6E34C]
Oggetto: Comunicazione nr. 91219 del 29 Settembre 2006 - Leggere con
attenzione
(vabbe', cut sulle solite fregnacce circa la comunicazione incongruente
di dati)
Non ho letto il messaggio in HTML, immagino ci sia il logo giallo PT,
visti gli allegati.
Ci sono anche parecchi link al sito genuino.
Quello che ha attirato la mia attenzione e' il link fasullo:
"E' possibile effettuare l'aggiornamento dei dati seguendo cliccando sul
seguente collegamento sicuro:"
(sicuro 'sto par di ravanelli, ma in qualche milione di email, chi
guarda il lucchetto?)
http://207.56.91.53
(che *per ora* e' ancora su. Imbroglia molto bene!)
a cui segue un "/anagrafica-SSL-bplo-" ed un luuuungo codice
numerico.HTM che non so se rappresenta la "mia" anagrafica dello
spammer, oppure e' solo fumo negli occhi.
Il whois non mi dice molto (Verio mi "risuona" male, nella mia memoria
arrugginita)
C'e' un indirizzo di abuse di tal NTT, ma non capisco se e' il phisher
stesso od un provider serio.
Qualche illuminazione in merito?
GRAZIE!
Location: United States [City: Englewood, Colorado]
NOTE: More information appears to be available at VIA4-ORG-ARIN.
OrgName:    NTT America, Inc.
OrgID:      NTTAM-1
Address:    8005 South Chester Street
Address:    Suite 200
City:       Centennial
StateProv:  CO
PostalCode: 80112
Country:    US
ReferralServer: rwhois://
rwhois.verio.net:4321/
NetRange:   207.56.0.0 - 207.57.255.255
CIDR:       
207.56.0.0/15
NetName:    NTTA-207-56
NetHandle:  NET-207-56-0-0-1
Parent:     NET-207-0-0-0-0
NetType:    Direct Allocation
NameServer: 
NS0.VERIO.NET
NameServer: 
NS1.VERIO.NET
NameServer: 
NS2.VERIO.NET
NameServer: 
NS3.VERIO.NET
NameServer: 
NS4.VERIO.NET
Comment:    ADDRESSES WITHIN THIS BLOCK ARE NON-PORTABLE
Comment:
Comment:    ********************************************
Comment:    Reassignment information for this block is
Comment:    available at 
rwhois.verio.net
 port 4321
Comment:    ********************************************
RegDate:    1996-02-16
Updated:    2005-12-30
RTechHandle: VIA4-ORG-ARIN
RTechName:   VIPAR
RTechPhone:  
+1-303-645-1900
RTechEmail:  *****@
us.ntt.net
OrgAbuseHandle: NAAC-ARIN
OrgAbuseName:   NTT America Abuse Contact
OrgAbusePhone:  
+1-800-551-1630
OrgAbuseEmail:  *****@
ntt.net
Fabrizio

 
http://207.56.91.53
<snip>
ok, credo che non ci vorrà molto a sistemarlo
ho già passato le info ai "picciotti" :) se però
potessi avere anche una copia *completa*
della email ... sarebbe utile
ciao

>
http://www.ssl-posteitaliane.net/anagrafica-SSL-bplo-34664245110120204939684.htm
uhm .. a casa mia il server di cui sopra risolve come 204.13.160.26
dove sta il 207.56.91.53 dell'altro post 207.56.91.53 :) ?
Cmq ho passato pure questa a chi di dovere.. vedArèm :) !

 dove sta il 207.56.91.53 dell'altro post 207.56.91.53 :) ?
207.56.x.y sono i siti di phishing, 204.13.160.26 e' un domain grabber
che si e' acchiappato 
ssl-posteitaliane.net
 dopo che era stato 
liberato dal registrar che aveva usato lo spammer  (lo spam
ssl-posteitaliane.net
 era del 21-22/9, il dominio e' stato 
segato il 24/9, e immediatamente riregistrato dal grabber).
Dubito che questo sia lo stesso dominio nelle URL dello spam
distribuito in questo momento.
furio

> 
http://207.56.91.53
Uh.. controlla se si apre ora :) ..
L'altro sito (posteitaliane ...) ha qualche problemino
il formmailer non funge per cui non credo che i tizi
riusciranno a raccattare granchč... ovviamente ...
potrebbero correggere il codice ma dubito che
possano fare in tempo.. gli ICBM sono in volo :)