Newsgroup: it.news.net-abuse
Titolo: Questo phishing è quasi perfetto...


Mime-Version: 1.0
Content-Type: multipart/mixed;
 boundary="= Multipart Boundary 0430070347"
Date: Mon, 30 Apr 2007 03:47:48 -0500
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
This is a multipart MIME message.
--= Multipart Boundary 0430070347
Content-Type: text/html; charset="iso-8859-1"
Content-Transfer-Encoding: 7bit
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" 
/>
<title>Untitled Document</title>
</head>
<body>
<div>
  ATTO DI DIFFIDA E MESSA IN MORA
  <p>Egregio Signore/a (altresě p....)</p>
</div>
Come da Raccomandata a.r.
<div>
  <p>Oggetto:   Messa in mora del debitore ex art. 1219 c.c.</p>
</div>
<div>
  <p>La mia assistita mi informa che a tutt&rsquo;oggi risulta un 
credito nei Vostri confronti dicomplessivi
&euro;. 900,00, come risulta dalla <a
href="
http://www.my-securedoc.com/atto_56563A/comunicazione.html
">documentazione
allegata</a>. </p>
  <p>Per quanto precede Vi rendo noto che, in difetto di ricezione, 
entro e non oltre dieci giorni dal
ricevimento della presente, del complessivo importo di &euro;. 900,00 
oltre gli interessi dal dovuto al saldo
di &euro; 670,00, agir&ograve; legalmente nei Vostri confronti, con 
sensibile aggravio di spese. </p>
  <p>Rimango in attesa di un Vostro riscontro in merito &ndash; <a
href="
http://www.my-securedoc.com/atto_56563A/comunicazione.html
">nel 
termine di cui sopra</a>
&ndash; e distintamente Vi saluto. </p>
  <p>Avv. G..... Sant...... </p>
  <p><a 
href="
http://www.my-securedoc.com/atto_56563A/comunicazione.html
"><img
src="
http://www.my-securedoc.com/atto_56563A/atto.jpg
" width="91" 
height="150" border="1"
/></a></p>
  <p><br />
      <br />
    <br />
  </p>
  <p></p>
</div>
</body>
</html>
--= Multipart Boundary 0430070347
Content-Type: application/octet-stream;
 name="atto_56563A.txt"
Content-Transfer-Encoding: base64
Content-Disposition: attachment;
 filename="atto_56563A.txt"
QWxsZWdhdG8gIkEiDQoNCkNvbXVuaWNhemlvbmUgcHJpdmF0YS4gDQoNCkNPbnRyb2xsaS
BsYSBkb2N1bWVudGF6aW9uZSBzbCBzaXRvLg0KDQpodHRwOi8vd3d3Lm15LXNlY3VyZWRv
Yy5jb20vYXR0b181NjU2M0EvY29tdW5pY2F6aW9uZS5odG1sDQoNCg0KDQpBdnYuIEcuIF
NhbnQuLi4uLi4=
--= Multipart Boundary 0430070347--
che, *esclusa la comunicazione irrituale*, risulterebbe credibile se:
- avessi contratto quel debito,
- l'avvocato risultasse iscritto all'Albo,
- la mail provenisse dal server di Libero,
- il mailer fosse OE.
Il sorgente della mail č chiaramente fatto a manina, non da OE.
Lo si deduce dall'header, dai <tag> e dall'attachment. :-DDD
-- 
    * b *
  *   y   *
*   Piero   *
[ /audaces fortuna iuvat/ ] 

 _Dalla Corea del Sud ricevo questa mail:_
E' tanto perfetto che non e' un phishing, e' il "virus dell'avvocato".
Aprendo il documento si diventava soci attivi (in quanto emettitori
si spam) di questo gruppo.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Lo si deduce dall'header, dai <tag> e dall'attachment. :-DDD
Non si tratta di phish, ma di trojan.
Alla pagina linkata c'è il link ad un eseguibile, che ovviamente è un
malware.
Questo è ciò che dice sophos al riguardo:
Virus 'Mal/Behav-031' found in file 56563A.exe
www.my-securedoc.com
 sta su 220.164.140.235, che è base di operazioni
nota a Spamhaus® e associata al record SBL49026, relativo al record
ROKSO ROK3552.
Ciononostante, il modus-operandi pare essere analogo a quello già a suo
tempo utilizzato (se ben rammento) dai nostrani spammer nei c.d. "spam
dell'avvocato", nella forma dei successivi run relativi "alle multe"...
Se le mie rimembranze son corrette, si direbbe che abbiano nuovi
partner, oltre ai russi di SBL46514...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGNgGF8THo01J+SBERArUhAJ9f9C2a78jsXBsEVrgT+TmMN1wntQCgwfvJ
+TZF3Vbj3bt8GXDyGdllCks=
=f3M3
-----END PGP SIGNATURE-----

 si spam) di questo gruppo.
Si, se intendi il documento linkato che, immaginando cosa avrei trovato, 
ho ignorato. Mi sono limitato a prendere l'IP di 
my-securedoc.com
 (under 
construction LOL) che lo segnala in Cina.
-- 
    * b *
  *   y   *
*   Piero   *
[ /ad audiendum verbum/ ] 

 Virus 'Mal/Behav-031' found in file 56563A.exe
L'immaginavo.
    ...skipped!


 Si, ma solo dopo aver abboccato installa il trojan.
Beh, no.
Nel senso che cambia la finalità: il phishing ha la finalità di rubarti
le credenziali con l'inganno. Qui c'è la finalità di indurti con
l'inganno a trojanizzarti da solo.
Un phish richiede l'inganno, ma un inganno non è necessariamente phishing...
Skull e la logica aristotelica :-D
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGOGh08THo01J+SBERAucGAJ4i5ZidH4mVovEk5DOWIHvEufT1VQCgk3uB
ruQU4/nwxuGZeFT9YkW0ZCY=
=5Zwd
-----END PGP SIGNATURE-----

> Si, se intendi il documento linkato
non solo quello; prova a controllare il source della
pagina; troverai un bel tag "object" che nel caso in
cui la pagina venga aperta con un browser vulnerabile
farà tutto da solo :P

"ObiWan" [by Microsoft Outlook Express 6.00.2800.1807] on 02/05/07 16:50 
wrote:


Ho aperto solo il sito in costruzione, comunque i browser che uso ne 
sono immuni. ;-)
-- 
    * b *
  *   y   *
*   Piero   *
[ /errare humanum est/ ] 

 Skull e la logica aristotelica :-D
Un P/ero, che per sostenere il suo "punto di vista" potrebbe ricorrere 
alla /prospettiva/. :-D
-- 
    * b *
  *   y   *
*   Piero   *
[ /carpe diem/ ]