Newsgroup: it.news.net-abuse
Titolo: Phishing fantasy

(*NB*: ho messo i link in chiaro, chi ci clicca lo fa a proprio rischio!)
...e dopo il phishing della Banca CR Firenze (che sembrerebbe 
addirittura /proxata/, cosi' validano anche i dati... :) )
http://64.1.186.5.ptr.us.xo.net/webapps/www.liberamente.net/
...ora arriva un grezzo sedicente Banco di Sicilia
http://www.djtoxic.com/help/bancodisicilia/
Quale sara' la prossima?
secondo me il giochino rende...
ciao
-- 
Cybertoldo
Per rispondermi via email, sostituisci moc.liamg con 
gmail.com

 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
The hardest thing in the world to understand is the income tax.
		-- Albert Einstein

 quando si arriverà a piccole realtà locali saremo alla fine
...e' quello che intendevo dire.
Questi:
- affinano le "tecnologie" (eg. il proxy)
- puntano verso istituti di credito sempre piu' piccoli o locali
- le mail che arrivano sono sempre piu' "credibili" (diciamo cosi') e 
fatte ad arte
- usano una rete di mail server /veri/ (passano le greylist) e puliti 
(anche secondo le blacklist dnsbl)
...
finora riesce a bloccarmeli lo spamassassin, ma non so per quanto "si 
faranno" bloccare...
IMHO la cosa mi pare preoccupante...


 
Io ho messo clamav con le firme sanesecurity: ne blocca parecchi
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Test-tube babies shouldn't throw stones.

 sanesecurity: ne blocca parecchi 
il problema resta sempre lo stesso, è un 
costante "gioco" a rincorrersi; gli spammers
ed i phishers si inventano nuovi modi per
bypassare i filtri e fregare gli utenti e chi
gestisce i mailservers cerca di "metterci"
una pezza il più rapidamente possibile in
modo da limitare i danni :(
restando sul "tecnico"; il fatto che ora alcune
email riescano a passare il greylisting grazie
all'uso di mailserver potrebbe essere indice
di un paio di cose
I phishers stanno usando dei veri mailservers
installati (o già presenti) su macchine che sono
state compromesse
I phishers hanno modificato i propri mailers per
utilizzare i mailservers già in uso sulle macchine
compromesse evitando il "direct to MX"
nel primo caso l'unica contromisura potrebbe
essere rappresentata dal blacklisting di tali
macchine (IP) oltre ovviamente ai "normali"
controlli di coerenza (niente IP dinamici, HELO
valido, PTR valido); nel secondo c'è poco da
fare "direttamente"; se pensiamo ad un "bot"
che invii emails tramite (es.) il mailserver di
un grosso ISP, a meno di non voler bloccare
"in toto" le mail provenienti da tale ISP l'unica
contromisura sarebbe contattare l'ISP stesso
e fare in modo che gestisca la cosa e questo
purtroppo in alcuni casi è quasi impossibile :(
Ho idea che si prospettino tempi grami anche se
(forse) ci sono ancora un paio di "trucchetti" che
potrebbero aiutare a ridurre alcuni problemi .. ma
di questi preferisco NON parlare in pubblico ;-)

 state compromesse
Sono tutti mailserver perfettamente "normali", ma con account SMTP-AUTH
dotati di password più o meno banale e raccolti via brute-force.
Tra questi, anche quelli di alcuni ISP (in particolare Bellnexxia pare
non riuscire a metterci una pezza oramai da mesi).

 
parliamone in privato allora :-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
It's easier to get forgiveness for being wrong than forgiveness for
being right.

> parliamone in privato allora :-)
Ok, poi, con calma, mentre provi quella
virtual machine (che comunque NON
accetta HD di VMware) ;-) ne potremo
parlare piů diffusamente :D

 oddio.. non credo, sarebbero abbastanza invasivi
no ? sei sicuro ?
http://en.wikipedia.org/wiki/Dark_Mailer
uno a caso eh !

Arne Saknussemm ha scritto:

Della serie "che palle".. speravo fosse invasivo perché comunque gestire 15 
email al secondo tenendo traccia di tutto non è poco per un pc home che (si 
suppone..) serve anche ad altro quando è acceso
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Real programmers don't comment their code.  It was hard to write, it
should be hard to understand.

 
:D
A occhio è carino e leggero ma avendo un hd fisico con installato xp (per 
vmware ws) credevo lo prendesse (almeno in modalità provvisoria)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it



Quasi nessun phisher usa questa roba.  Direi che le due tipologie
(i) SMTP AUTH di account con password banale  
(ii) applicativi web insicuri, tipicamente basati su PHP
coprono pressoche' la totalita' del phish in circolazione.
Il corollario e' che il phish viene pressoche' tutto da spazi
IP business, non residenziali.
furio

 serve anche ad altro quando è acceso
beh visto che ci siamo e visto che hai la VM, se vuoi
provare darkmailer.. lo trovi qui :P
http://www.softplatz.com/Soft/Network-Internet/Other/Dark-Mailer.html
in ogni caso, questo è solo uno dei programmi, ce
ne sono diversi altri; considera che ad esempio ho
visto anche alcune macchine con installato XAMPP
http://www.apachefriends.org/en/xampp.html
e che venivano usate come mailers o come web
sites per phishing o spamvertizing.. vedi tu :(