A organizacao do evento disponibilizou os videos das palestras em um canal do youtube. Sendo assim, em complemento ao post anterior disponibilizo aqui os videos da minha apresentacao. E muitocomum lidarmos com casos de phishing no Brasil, sao inumeras aspaginas falsas de bancos brasileiros tentandocapturar credenciais de acesso de usuarios desavisados. Entretanto,esse tipo de golpe nao ocorre so aqui, ha pessoas aplicando essesgolpes em varias partes do mundo.Dentre asempresas internacionais mais visadas em casos de phishing a que maisse destaca e o PayPal, empresa de pagamentos online mundialmenteconhecida. Osmetodos empregados nesse phishing que iremos analisar sao semelhantes ao que costumamos ver por aqui, porem ha alguns detalhes para deixar o golpe talvez um pouco maissofisticado e atingir um maior numero de vitimas. Vamos la!PaginainicialComo ecomum nesses casos, as URLs do phishing tentam passar a impressaoque sao do proprio site do PayPal, o atacante copioupadroes de URLs utilizados no site original e tentou reproduzir naspaginas falsas. A URL que deu acesso ao phishing foi essa:http://paypal.com-us.cgi-bin-webscr-cmd.login-submit-dispatch.74fghghs68g484iky4mn86we8r46d4h38df4b83m48h54156ty84d87f4xnbhg.obuvkionline.info/Open-information.phpQuebrei para facilitar a leitura, as tres linhas formam somente uma URL.Se a pessoa ler somente da esquerda para a direita talvez pense querealmente se trate do site paypal.com mas o verdadeiro dominio ondea pagina esta hospedada e esse:obuvkionline.infoTudo oque esta antes do dominio e o subdominio que o atacante crioupara tentar enganar os usuarios. Ao clicar nessa URL abriu o siteabaixo.Um sitedo PayPal em ingles bastante convincente visualmente. Tive acesso aocodigo-fonte desse phishing e assim consegui entender melhor ofuncionamento, vamos ver o passo a passo da execucao.Redirecionamentose IdiomasO codigoda pagina Open-information.php, que e a primeira a ser executada, eesse abaixo:Elaredireciona o usuario automaticamente para a pagina reboot.php queesta dentro do diretorio service do site. Esse diretoriopossui a estrutura abaixo, que sera referenciada varias durante esse post.Ja apagina reboot.php possui o seguinte codigo:Essa euma outra forma de redirecionamento, ha uma variavel que recebe astring Limit e depois um loop que vai buscando nomes dediretorios no padrao Limit1, Limit2, Limite3...Quando encontra um diretorio com algum desses nomes ela redireciona paraele.Olhando afigura da estrutura do diretorio service novamente vemos quedentro dele ha uma pasta chamada Limit9, entao o reboot.phpvai chamar o index dessa pasta. O porque do redirecionamento serfeito assim entenderemos mais pra frente.Agorapassando para a analise da pagina Limit9/index.phpencontramos o codigo abaixo: <?php /* ############Scam Made By AdAmMeD################ */ # # # Scam Made By AdAmMeD ## Scam Made By AdAmMeD # # # ################################################ /* */ $HTTP_ACCEPT_LANGUAGE = $_SERVER['HTTP_ACCEPT_LANGUAGE']; if ($HTTP_ACCEPT_LANGUAGE != ''){ $idiomas = explode(",", $HTTP_ACCEPT_LANGUAGE); for ($i=0; $i<count($idiomas); $i++){ if (!isset($idioma)){ if (substr($idiomas[$i], 0, 2) == "es"){$idioma = "ES";} if (substr($idiomas[$i], 0, 2) == "en"){$idioma = "EN";} if (substr($idiomas[$i], 0, 2) == "fr"){$idioma = "FR";} } else { $idioma = "EN"; } } } include 'Pay_'.$idioma.'.php'; /* ############Scam Made By AdAmMeD################ */ # # # Scam Made By AdAmMeD ## Scam Made By AdAmMeD # # # ########################################## /* */ ?> Aprincipio vemos a assinatura do autor do codigo do phishing ScamMade By AdAmMeD. Nao necessariamente e a pessoa que estaaplicando o golpe, pode ser que ele so fez o codigo e vendeu oudisponibilizou para download.Emseguida e