Newsgroup: it.comp.sicurezza.varie
Titolo: Phishing: Come hanno fatto

Al mio babbo hanno portato via 2000 euro dal suo conto corrente della 
allianz tramite
bonifico bancario.
Tralasciando che s'è fatto fregare lui..in quanto il sito gli ha chiesto in 
maniera anomala la parola chiave segreta
dal sito ufficiale, spacciandola come un ulteriore sicurezza, ma quello che 
nn capisco è come sono arrivati
a far uscire quel popup.
Nella cronologia ho trovato due link che sono sicuramente i colpevoli, che 
hanno come indirizzo
https://servizi.allianzbank.it/
 e che portavano uno alla schermata del nome 
utente e password e l'altro
all'inserimento della parola chiave, quindi vuol dire che sono stati 
visitati.
Ora, il mio babbo che comunque è abbastanza sveglio e conosce il phishing. 
In passato ha ricevuto sia per il suo conto
bancoposta che per quello del banco di roma le email di phishing, e le aveva 
prontamente cestinate.
Adesso è stato diverso perchè a sentire lui, ha aperto come sempre il sito 
della banca dai preferiti, e al momento
dell'inserimento del nome utente e password, si è aperto un popup che 
richiedeva la parola chiave. Vedendo tutto regolare,
(quindi nn ha cliccato da link esterni, da mail, da eseguibili o cose 
strane) gliel'ha dati fidandosi della sua banca.
Quindi quello che mi chiedo, come hanno fatto a sostituire solo la schermata 
del nome utente e password sopra a quelle originali
del sito ufficiale, che sicuramente era aperto visto che c'è arrivato dai 
preferiti?
Poi l'apertira del popup credo sia conseguenziale e mi stupisce di meno...
Nella cronologia ripeto ho trovato i due link incriminati che non riproduco 
tutto il sito, ma solo la parte del nome utente e psw,
e il popup.
Grazie mille a chi mi chiarisce i dubbi..per evitare che in futuro capiti di 
nuovo.
Se non è il posto giusto mi scuso..e ringrazio se saprete indicarmi dove 
fare queste domande.
Alessandro
p.s. secondo voi i soldi riesce a recuperarli? ha bloccato tutto e fatto 
denuncia in questura..

 phishing.
non mi pare....
-- 
Non fare mai del male e fai del bene quando puoi
http://inpoesia.splinder.com/
http://www.bairo.info/vivisezione.html
http://dallaparteloro.blogspot.com/

 a far uscire quel popup.
[cut]
Non sarà mica che anche Allianz ha lo stesso tipo di problema che
aveva la Fideuram mesi fa ?
A parte questo, fai controllare per bene il PC, non si sa mai che ci
sia un bel trojan.
Gabriele

 visitati.
Aggiungo che l'url da te indicato ora riporta "Servizi momentaneamente
non disponibili.", sarà un caso, o hanno scoperto la falla ?
Gabriele


no sono ancora visualizzabili se ti do l'indirizzo completo che è piu lungo, 
se ti interessa me lo spedisco via email e lo posto..


grazie del prezioso aiuto, è chiaro che chi mangia pane e computer nn 
avrebbe
mai dato la parola chiave..ma lui s'è fidato della SUA banca in quanto come 
detto
ha aperto il link dai preferiti. Tutte le informative sul phishing più note 
sono
contro i link ricevuti via e-mail..quindi tutto sommato lo capisco perchè ha 
cappellato.
io continuo a nn spiegarmi come comunque hanno fatto se per te è cosi ovvio
potresti dirmelo :)
Grazie


Se è come penso io, l'url lungo contiene delle istruzioni che fanno
inserire un iframe o simile, per cui ti resta l'url della banca anche
se in realtà la sorgente è altrove.
Posta tutto che controlliamo.
Gabriele


Nel portare il link sul mio PC ho scoperto una cosa interessante.
Il link incriminato da me è:
https://servizi.allianzbank.it/jsp/allianzbank.sec?TYPE=33554433&REALMOID=06-17c16e28-b9b5-1053-b454-832d03bb304d&GUID=&SMAUTHREASON=0&METHOD=GET&SMAGENTNAME=-SM-LPN2eqP4XA5iBfodIjYQGAHUIH1ipJiLgxscXsJtMnRPzg%2bw%2bKzhBc%2bflxKpYCfE&TARGET=-SM-%2fJMCPortale%2fWebBrowsers%2fLayout%2fLayoutPortaleRAS%2ejsp
sul mio PC effettivamente apre una pagina che chiede user e psw come nel pc
di babbo, però c'è una sostanziosa differenza.
SUl mio PC se metto un codice a caso, apre una schermata di errore, ovvero:
https://servizi.allianzbank.it/jsp/allianzbank.sec?TYPE=33554433&REALMOID=06-17c16e28-b9b5-1053-b454-832d03bb304d&GUID=0&SMAUTHREASON=6&METHOD=GET&SMAGENTNAME=-SM-LPN2eqP4XA5iBfodIjYQGAHUIH1ipJiLgxscXsJtMnRPzg%2bw%2bKzhBc%2bflxKpYCfE&TARGET=-SM-%2fJMCPortale%2fWebBrowsers%2fLayout%2fLayoutPortaleRAS%2ejsp
sul portatile di babbo invece mettendo codici a caso si apre una pagina che
chiede di inserire
la famosa parola chiave che hanno usato per fregargli i soldi. il link è:
https://servizi.allianzbank.it/siteminderagent/forms/login.fcc
che io vedo invece sul mio pc come una pagina bianca.
Quindi..c'è tutt'ora ancora sul portatile un qualcosa che ha permesso la
truffa, sarei curioso di sapere
cos'è e come puo averlo preso. 

`Loku wrote:
[cut]
ho dovuto postare con un altro Server che per aioe erano troppe caratteri.
riesci a vederlo il post?

che io vedo invece sul mio pc come una pagina bianca.
Dipende dai cookie. La pagina che otteneva Gabriele e' probabilmente
https://servizi.allianzbank.it/siteminderagent/forms/login.unauth
La cosa strana e' che quello che descrivi tu somiglia a una vulnerabilita'
di tre anni fa. Possibile ne sia saltata fuori un'altra simile? :-?
http://marc.info/?l=bugtraq&m=112084050624959&w=2
(Ho provato adesso e il test di vulnerabilita' non mi rimanda a Google, di
conseguenza almeno *QUEL* bug mi sembra sia corretto - come ci si dovrebbe
aspettare).
Tuo padre aveva aperto solo il browser?
Inoltre, per fare un bonifico non dovrebbe servire anche un altro codice o
PIN o chiavetta con password temporizzata random?
Leonardo
-- 
The stars have not dealt me the worst they could do:
My pleasures are plenty - my troubles are two.
But oh!, my two troubles, they reave me of rest:


oltre la user e la psw per entrare nel sito, c'è questa parola chiave di 8 
cifre, e quando
si fa qualsiasi operazione (tipo un bonifico) chiede ad esempio la 2° e 8° 
lettera.
Lui si è fatto inculare proprio questa parola chiave col metodo sopra 
descritto..e
a quel punto fare bonifico è stato semplice. dici che se cancello i cookies 
anche dal pc
di mio padre non vedo piu la pagina che chiede la parola chiave dopo aver 
inserito user e psw
di accesso al sito? Domani farò una prova..e screen della finestra 
incriminata.
Io continuo a non capire come caspita hanno fatto..più che altro per evitare 
che accada di nuovo,
anche se credo l'abbia capito che NESSUNO ti chiederà mai al tua parola 
chiave personale.

 nuovo.
Le statistiche fornitemi da gente che ci è in mezzo e magari analizza i 
logs di macchine troianizzate che hanno ospitato siti di phishing sono:
- il paypaback lordo al phishing bancario è circa il 10% (alcuni ci 
vanno proprio spontea loro altri ci vanno per anteprima automatica ...)
- di qseeto 10% l'1% lascia le credenziali del suo conto corrente
ne consegue che su 1000 email c'è sempre un cretino che si fa fottere, 
per cui phishare è remunerativo
- più della maggioranza di quel 10% non lascia credenziali ma inserisce 
bestemmioni e parolacce, sopratutto bestemmioni. Ora quella di inserire 
dati falsi ha un nome tecnico ben preciso (diluition) e viene pratica 
anche da staff pagati dalle varie banche per contrastare (con risultati 
però non starordinaria di per se; molto più effeicace combattere 
l'inoltro dello spam associato) il fenomeno; però le bestemmie oltre 
che essere sconvenienti non funzionano perchè i phishers usano dei 
tools anti diluition che sgrossano i bestemmioni e gli insulti più 
palesi. Per cui mi è venuto in mente - giusto quei due secondi prima di 
scartarla come cazzata - che un ottima strategia sarebbe usare come 
password del proprio cc una sana bestemmia, di modo tale che tanto 
sarebbe scartata. ma magari c'è qualcuno che non usa il tools e 
quanlcun altro fornisce dati non suoi con bestemmia conforme.  Molti 
pretenderebbero poi di dare le credenziali di berlusconi o Bill gates; 
per quanto al secondo, essendo la causa originaria di tutte queste 
disgrazie :), dubito uso conti on line, e comunque i phishers li 
filtrano. Per quanto al Silvio non esiste un sistema per violare un 
silviodanaio.
In ogni caso è bene ricordarsi che spesso quanto si butta dentro al 
sito troianizzato non va perduto assieme al vostro IP, anzi magari va a 
finire sul tavolo di un tribunale: per cui qualcuno magari se la ride 
alla grande a leggere a psoteriori le cazzate che ci avete scritto.
Morale: bestemmiare meno ed essere più furbi (corretto mantenimento 
sistemi antivirus, antispam, aggiornamento so, uso di browser con 
potenzialità antiphishing ..) è la parte di lavoro che può fare 
l'utente.