Newsgroup: it.comp.sicurezza.varie
Titolo: spam da account libero

Hola, mi č arrivato stamani dello spam da account @
libero.it
, mittenti che 
conosco, messaggio sempre simile (soggetto corto [david o branden],un link 
ad una pagina come testo [pagina che pubblicizza un metodo sicuro per fare i 
soldi].
La cosa strana č appunto il mittente @
libero.it
: hanno bucato libero?
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 La cosa strana è appunto il mittente @
libero.it
: hanno bucato libero?
 
Basta che abbiano "bucato" il pc del tuo conoscente, fregandogli la 
rubrica.
Poi per quanto riguarda il mittente, metterne uno fasullo è la cosa più 
semplice del mondo
 
 


 
 
Ed è coerente con i log del server


 
 
Nota che l'invio *non* sta avvenendo attraverso Libero.
 
Tempo fa (alcuni mesi) è capitato un evento sostanzialmente analogo, ma
più massiccio della tornata corrente.
 
Non ho avuto intel da dentro Libero, ma l'ipotesi più ricorrente
all'epoca era che una qualche vulnerabilità dell'interfaccia webmail
fornita da Libero abbia consentito a terzi di prelevare i contatti degli
utenti, consentendo l'invio di spam "mirato".
 
L'invio non avveniva tuttavia mai attravero Libero stesso (come in
questo caso), il che significa quasi certamente che le credenziali degli
utenti non sono state intaccate.
 
Ma era ed è (ribadisco) solamente un'ipotesi, non ho idea che ci sia mai
stato uno statement formale da parte di Libero al riguardo...
 
 
Per quel che vedo, comunque, direi semplicemente che la stessa gente che
all'epoca ha prelevato quei dati ora li sta riutilizzando.

Roberto Tagliaferri wrote on 29/11/14 13:55:

Per caso dentro c'era un link tipo questo?
thewebmaker.coolromania.ro/iitikov
 
 
Gabriele

 La cosa strana è appunto il mittente @
libero.it
: hanno bucato libero?
 
Anche io ho ricevuto un messaggio analogo da una amica con account 
libero 2 gg fa.
Il subject ripeteva l'indirizzo email del mittente con l'aggiunta di 
una "a" alla fine (esempio "<mittente>@
libero.it
 a") e il corpo 
conteneva solo il link ad un sito che appunto pubblicizza il solito 
metodo sicuro per fare soldi nei casinò online.
 
Ricostruendo a posteriori, la cosa si è svolta mentre lei era da una 
amica e giocava a Ruzzle sullo smartphone; ad un certo punto si è 
aperto da solo il browser (probabilmente ha involontariamente cliccato 
su un banner) e non riusciva a chiuderlo. Dopo 1-2 minuti è arrivato a 
me il mail (e ad altri 10 destinatari).
 
Il primo "received" è di Silmemar in Azerbaijan, il secondo da San 
Francisco, poi è arrivato in Tin.it che me lo ha consegnato.
 
Siccome lo avevo avventatamente aperto anche se il sito era strano (sto 
invecchiando...secondo le mie regole non avrei dovuto aprirlo) ho 
subito reinstallato una immagine di win8.1pro di una settimana fa.
 
Penso che sia collegato all'episodio analogo di qualche mnese fa, in 
cui di nuovo avevo ricevuto un mail spammoso dalla stessa amica.
 
 

dimenticavo: tutti gli indirizzi spammati, ed anche il mio, erano 
memorizzati sul suo cellofono; lei non ha pc, o meglio non lo usa quasi 
mai, ma su quello gli indirizzi spammati non c'erano.
 
il link contenuto, tralasciando l'inizio canonico con le doppie slash, 
è il seguente, se qualcuno volesse investigare:
 
studyspace.com.sg/fustfz/lcstbececmhom.ibasyvlxewkgfinfdr
 
 
 

 all'epoca ha prelevato quei dati ora li sta riutilizzando.
 
Direi che sta capitando anche a me, per i curiosi se volete ho 
conservato le mail arrivate, ma probabilmente prima o poi le cancellerò 
ed amen.
 

 Gabriele
 
Appena arrivato anche a me, su uno dei miei account Libero, un rapporto 
di mancato recapito (con un link al dominio che hai indicato) 
apparentemente arrivato da una vecchia mail di un mio conoscente (mail 
su Virgilio). Tale indirizzo non è presente né nelle rubriche offline 
che ho sul PC, né in quella on-line dell'account di Libero perché 
quell'amico lo ha cambiato da tempo e in rubrica ho solo quello nuovo. 
Quindi, se di violazione del mio account si fosse trattata, avrebbe 
potuto risalire a molto tempo addietro
 
 

Skywalker Senior wrote on 01/12/14 00:41:

A me era arrivato da un indirizzo @
libero.it
 di una tipa con cui mi ero scritto 
un paio di volte per lavoro, ma roba di anni fa!
Propendo quindi per l'ipotesi indicata da Skull.
 
Gabriele
 

 Gabriele
 
no, il link è questo
greenenergyincalifornia.affiliate-marketing-
online.net/tchqeoj/evxqhrbcyeikbiwdobegujbwpqudlfjxidmoe.ciuyeqhdjtdppfgzuvtqdp
 


 utenti non sono state intaccate.
 
Probabilmente ora sono passati a spedire direttamente, visto che poco fa 
mi è tornato indietro come rifiutato un messaggio spedito via smtp di 
libero:
http://www.spamcop.net/bl.shtml?212.48.25.200
 
 
-- 
Sans


Campione?

 potuto risalire a molto tempo addietro
 
A me è arrivata da un indirizzo "
libero.it
" con il quale sono sicuro di non
aver mai avuto contatti prima di gennaio 2014, quindi tanto tempo addietro
non deve essere.

Tal so scrit di prime, Skull al a scrit :

Estemporaneo: una ventina di messaggi di un utente non andavano a 
destinazione. Ho provato a mandarne uno io e la risposta era il rifiuto 
per la presenza in spamcop. Tutti i destinatari erano sul server di 
istruzione.it
.
 
-- 
Sans


 
 
A riprova, proprio adesso me ne arriva uno da una signora anziana che negli 
anni ho sporadicamente aiutato al computer.
Da circa 3 anni ha un iMac, usa ormai di rado la webmail di Libero perché le ho 
insegnato l'utilizzo dei client, quindi escludo virus e simili.
Deduco che sia stato proprio Libero ad avere qualche buchetto...
 
Nello spam il link è:
http://okcularyapi.com/qj/supercazzola1.supercazzola2
 
 
ciao
Gabriele
 
ps: "supercazzola" l'ho scritto io al posto della sequenza direi random di 
caratteri.