Newsgroup: it.comp.sicurezza.varie
Titolo: Re: Illuminatemi d'immenso.

 Qualcuno sa dirmi di più?
Ops, no, vista l'ora no. Mi veniva in mente una vulnerabilità di cui
mi sfugge il nome, il cui effetto è simile a quello: nella barra di stato
e in quella dell'indirizzo risulta un indirizzo diverso da quello reale...
però mi risulta patchato, tanto che sul mio PC non succede.
E comunque qui siamo in presenza di qualcosa di diverso, a occhio
è un (K)Javascript che crea questa finestrella. Vediamo... pare
proprio di sì. Se vuoi ti mando il "login.html" che contiene lo script,
l'ho salvato. Da quel che ho capito in 5 secondi netti, usa[1] un css
per far apparire questa finestrella con il nome del sito originale
(https: // interneteccetera), cerca, in modo eccezionalmente grezzo,
(posizione in pixel hardcoded, bleah...) di sovapporla alla barra
degli indirizzi, e poi /credo/ che cerchi di far fare il logging al
malcapitato al finto sito e di inviare o rimbalzare i dati ad una
macchina in Ucraina, a Lugansk, di cui risulta l'IP.
Magari non ho capito niente, visto che il JS non è certo il mio
campo, ma ad occhio...
<script type="text/javascript">
    var vuln_x, vuln_y, vuln_w, vuln_h;
    function vuln_calc() {
      var root= document[
        (document.compatMode=='CSS1Compat') ?
        'documentElement' : 'body'
      ];
      vuln_x= window./*    */screenLeft+68;
      vuln_y= window.screenTop-21;
      vuln_w= root.offsetWidth-500;
      vuln_h= 17;
      vuln_show();
    }
Ti risparmio il resto...
[1] Ovviamente lo fa solo se rileva IE. Proprio vero che ci vogliono le
mutande di ferro, per navigare, eh ? Cioè, se uno insiste con IE :-/
Bye, G.

La cosa si fa curiosa...
Se apro l'url
http://196.40.75.39/s
 [1]
con IE, risulta questo js
<script language="JavaScript">
location.href=unescape('
http://196.40.75.39/s/login.html
 ');
</script>
se invece apro [1] con firefox, risulta questo
 <!script language="JavaScript">
location.href=unescape('
https://internetbanking.suntrust.com
');
</script>
Da profano (sottolineo profano, cosi' evito figuracce), direi che la pagina
[1] identifica il browser e cerca di ******** gli utenti di IE.

 
http://snipurl.com/antisemitafi
 
lol :9 questa mi era sfuggita ..
-- 
Ciao, Dmitry
--
GIGAMAIL By X-Privat - 
http://www.x-privat.org/gigamail.php

 correttamente, tanto che vedo l'indirizzo reale.
Su windows 2000 la sovrapposizione è _perfetta_
E' questo che mi ha inquietato.
Vabbè, ora mi è tutto chiaro: grazie per l'interessamento. :)
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino
Le sigarette a volte danno buoni consigli:
http://snipurl.com/sigarette

 E' questo che mi ha inquietato.
Vero, anche sul mio (ma si vede se sposti la finestra).
Se puo' interessarti, McAfee intercetta un Trojan e lo identifica come 
'JS/Stealus.gen' quando apri la pagina.
(cit.: "This detection covers HTML documents (such as web pages and HTML 
formatted email messages) that contain malicious JavaScript, which 
exploit an Internet Explorer vulnerability resulting in Internet 
Explorer displaying one location in the Address bar, but actually 
loading the content from a different site.  Such URL spoofing can result 
in attackers creating forged versions of legitimate sites in order to 
steal account information, personal information, etc.")
bye!
-- 
Fabrizio "Hermooz" Ermini

Vabbč, ora mi č tutto chiaro: grazie per l'interessamento. :)
NON confermo ;->
Non so perche', ma su W2000 ed IE 6 con GoogleToolbar[1],
l'immaginetta farlocca viene presentata nella toolbar stessa, quindi
non serve ad ingannare nessuno (beh, diciamo che un utente appena
svenuto, lo freghi sempre e comunque...).
Magari dipende _anche dalla risoluzione (io ho davanti un 21" settato
a 1280x1024), ma se disattivo la Googlebar l'immagine truffa si sposta
in alto _quasi_ sopra alla barra dell'indirizzo. Anche qui, pero', la
cosa e' ben lontana dall'essere perfetta, e chi NON clicca a caso si
accorge immediatamente della gabola.
In conclusione, il giochetto e' interessante, ma fatto veramente
_male_.
[1] provato anche con SlimBrowser, stesso comportamento. Firefox,
invece, come gia' detto, se ne fotte del codicillo.
Ciao,
Giovanni Cesaretti
-- 
"Non prenderei mai la tessera di un club
che mi accettasse tra i suoi soci"
Groucho Marx

 svenuto, lo freghi sempre e comunque...).
Sul mio win2000, aggiornato e patchato che piů non si puň, a 1024x768, l'url
č un cerottino bianco sulla barra degli indirizzi, che perň "sfora"
leggermente a sx.,sul grigio di "indirizzo"
-
Pippo
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 E' questo che mi ha inquietato.
Evidentemente è calcolato per una installazione di default probabilmente
a 1024X768, con "etichette di testo" e icone grandi, ecc. ecc., visto
che è stato usato un posizionamento a pixel.
E come dice Hermooz, viene sfruttata /anche/ la vulnerabilità "URL spoofing",
che è quella di cui non ricordavo il nome :-)
A me quella roba non arriva proprio, ma sulla linea di questo PC ci sono
tanti e tanti sbarramenti che già per vedere quello che ho visto ho dovuto
"calargli le mutande" :-)
A proposito: mi sembrava di aver già visto e/o sentito questa
storia, e dopo una rapida guglata ho scoperto che la colpa di tutto
è, udite, udite, nientepopodimenoche di...
[Rullo di tamburi]
[Rullo di tamburi]
[Altro rullo di tamburi, ne merita almeno tre :-) ]
Leonardo nonché Serni, che nel post
http://www.google.com/groups?selm=fk8gtvosu794pm54f7854j9s8p35mve5fl%40L.Serni
dimostrava ancora una volta certe doti che io al posto
di Randi comincerei a preoccuparmi...
Bye, G.

 applicate, ovviamente), l'effetto è piuttosto divertente. [...]
Tempo fa, Microsoft ha rilasciato un aggiornamento (per IE6, o per tutte le
versioni di win, non ricordo) che copriva un bug di Explorer su di un
intervallo di certificati, che (non sono sicuro) mi pare le avessero
letteralmente rubato.
Orbene, l'aggiornamento in questione, facendo windows update se non erro e'
tra i consigliati e non tra quelli importanti. Assicurati di averlo
installato e fai un altro giro di giostra.
Mi pare di assistere alla truffa del bancomat in non so quale film, dove
davanti al bancomat mettevano quattro pareti di cartone e la stessa
"interfaccia", e l'omino dentro prelevava piu' che poteva dando alla vittima
solo quello che aveva chiesto. Triste, ma intelligente, e mi stupisce che la
loro stessa intelligenza non metta in luce ai fautori la tristezza questi
loro gesti.
Ciao
-- 
enoslx

 una discreta parte di tipici aoellers ed affini.
Su IE / XP SP2 l'url nella barra degli indirizzi è 
http://196.40.75.39/s/login.html
, mentre appena sotto (nella prima riga 
della pagina) appare come scrittina "anomala" 
https://internetbanking.suntrust.com
.
Così su due piedi non si riesce a vedere il sorgente html, ma ha tutta 
l'aria di uno script che ha tentato di fare qualcosa di sporco ma non 
c'è riuscito.

 spaccia per SunTrust (banca online).
Io no, però posso dirti... che figata!
Oltretutto io me ne sono accorto subito perché la finta barra mi è uscita
leggermente sfasata rispetto a quella reale, quindi si vedeva, però alla mia
ragazza no...
Un altro colpo a favore di Opera (nel mio caso).
-- 
Jax
====
Era così triste che sorrideva con un labbro solo. (Jules Renard)