Newsgroup: it.lavoro.professioni.webmaster
Titolo: Attacco su server italiani

Ultimamente mi arrivano spesso messaggi di spam-virus più sofisticati
del solito.
Noto che questi non usano più il phishing, collegando URL ad un anchor
text diverso, ma bucano direttamente i server di siti noti (italiani)
e lì scaricano direttamente il virus.
Non metto i nomi dei server, ma mi limito a segnalare la cosa.
Per ora ho notato che il file usa i seguenti nomi
- Documenti.zip
- Fattura.zip
- informazioni.zip
Controllando con virus total l'URL e relativo file emerge ovviamente
un malware.
 
Il messaggio testuale di solito appare così
 
-------------------------
Buongiorno, XXXX (email di chi riceve il messaggio)
 
La risposta alla tua domanda sul profilo sul sito 2011/XX/XX.
Le statistiche possono essere visualizzati sul Web all'indirizzo:
http://XXX/servizio/Documento.zip?ClienteIDXXXX(email
 sopra)
 
==
Tel./Fax.: +39 XXXX
-------------------------
 
o
 
-------------------------
Buongiorno
 
Aggiornare le informazioni dell'account.
Leggi la documentazione.
http://XXX/servizio/Fattura.zip
 
 
Order id: XXXX.
-------------------------
 
Quindi occhio a tutti.
Secondo voi bisognerebbe informare i gestori dei vari server che sono
stati attaccati?

 Le statistiche possono essere visualizzati sul Web all'indirizzo:
http://XXX/servizio/Documento.zip?ClienteIDXXXX(emailsopra)
 
 
non ho capito bene: il link a documento.zip punta proprio ai "siti
noti"?
 
poi certo, avvisare a ragion veduta è sempre una bella cosa.

 poi certo, avvisare a ragion veduta è sempre una bella cosa.
 
Sì, è questa la novità.
Di solito si trattava di phishing, cioè mettevano l'anchor text con un
dominio noto, tipo Poste o qualche banca e poi l'URL in realtà
rimandava a qualche dominio creato ad hoc e hostato in Cina o chissà
dove.
In questo caso invece la cosa è piu subdola, perché puntano davvero a
quel sito e uno magari crede che gli sia stato fatturato qualcosa per
sbaglio e se lo va a scaricare.
 
Ma voi non ne avete mai ricevute?
 
Di solito il subject è
Fattura N XXXXXX
Fattuna #XXXXXX

 Ma voi non ne avete mai ricevute?
 
A dozzine, ma hanno sempre avuto l'href diverso da quanto visualizzato.
 
 
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net
 

 Fattuna #XXXXXX
 
Sì sì, se ne è parlato tempo fa sul NG dei virus e vedo che la tua 
discussione è stata portata anche su it.news.net-abuse.
 
ciao
Gabriele
 

 discussione è stata portata anche su it.news.net-abuse.
 
ah ok... non lo sapevo
Facendo qualche ricerca ho visto infatti che non è una cosa nuova.
Non li avevo mai ricevuti prima, e continuano ad arrivarmi ... 2-3 al
giorno... devono aver beccato la mia email in giro per il web...
palle...
 

 palle...
La tua email la becca, in questo caso specifico, da altri PC infetti.
Infatti a me arriva non solo su indirizzi pubblici, ma anche su account 
privato che non uso mai su web.
ciao
Gabriele

 
http://XXX/servizio/Documento.zip?ClienteIDXXXX(email
 sopra)
C'è in circolazione una nuova ondata di varianti di "Zbot" (alias
Zeus [1]) che si diffondono proprio attraverso messaggi email
contenenti links a siti "innocenti"; i files linkati sono per la maggior
parte degli zip e questi, di solito, contengono un file con doppia
estensione come ad esempio (notare i "sottotratti")
fattura.doc______________________________________.exe
allo scopo di cercare di ingannare la vittima che crederà di
aprire un documento quando invece avvierà il programma;
il brutto è che tali varianti molto spesso non sono identificate
dagli AV e siccome le email parlano di "fatture da pagare"
o "solleciti di pagamento" o cose del genere, è facile che
un utente ignaro scarichi ed apra il malware anche se si
tratta di una email che arriva da un perfetto sconosciuto :P
Relativamente al discorso "siti innocenti" ho notato che per
la maggior parte, i siti usati per "ospitare" il payload sono
realizzati usando dei CMS che, vuoi per errata configurazione,
vuoi per vulnerabilità note (e mancato aggiornamento) offrono
il fianco ad alcuni tipi di attacco (il tutto avviene in automatico
da parte di bots che cercano i siti, li forano e ci piazzano il
payload, non c'è intervento diretto di "hackers umani")
Per ulteriori info, vedi anche il thread "spammatori idioti"
su it.news.net-abuse
Una nota finale; un buon modo per cercare di prevenire tali
tipi di problema sui propri siti web è quello di utilizzare dei
meccanismi di controllo degli IP, rifiutando l'accesso agli
IP notoriamente "impestati"; a tale scopo è possibile usare
sia le liste DNS di "
abuse.ch
" [1] [2] sia il servizio HTTP:BL
fornito da "project honeypot" [3]; in entrambi i casi l'idea
è quella di effettuare un check nel momento in cui un dato
IP si connetta al webserver e poi, in base al risultato di tale
check, fornire la risposta richiesta o rifiutare la richiesta
senza elaborarla (o addirittura rifiutare la connessione ;-D)
Ciao
[1] 
https://zeustracker.abuse.ch/blocklist.php
[2] 
https://zeustracker.abuse.ch/ztdns.php
[3] 
http://www.projecthoneypot.org/services_overview.php

 privato che non uso mai su web.
 
Ma che, molto probabilmente, sono/erano su qualche macchina che
è stata infettata dallo stesso malware o da qualche "parente" :P non
è una novità, sono anni che succedono queste cose, come sono anni
che la gente che si becca dei virus "dimentica" di cambiare le pass
dei vari accounts (inclusi quelli email) :P