Di seguito riportiamo i tentativi di phishing a mezzo email più comuni, rilevati dal Centro Ricerche Anti-Malware di TG Soft nel mese di luglio 2020. Queste email hanno lo scopo di ingannare qualche malcapitato inducendolo a fornire dati sensibili, come le informazioni del conto corrente, i codici della carta di credito o credenziali di accesso personali, con tutte le possibili conseguenze facilmente immaginabili.

INDICE dei PHISHING 22/07/2020 => Webmail "Aggiornamento Dell'account" 18/07/2020 => Aruba "Rinnovo servizio Giga Mail" 14/07/2020 => Netflix 12/07/2020 => Aruba "problema con il rinnovo" 07/07/2020 => Aruba "problema di pagamento" 04/07/2020 => Aruba "caselle in scadenza" 03/07/2020 => Aruba "Risolvi il problema del rifiuto di rinnovare" 03/07/2020 => SexTortion: "Video Of You" 01/07/2020 => Webmail "Re-Convalida il tuo Webmail"

• Un po' di attenzione e colpo d'occhio, possono far risparmiare parecchi fastidi e grattacapi...

• Prova Vir.IT eXplorer Lite

• Ora disponibile VirIT Mobile Security
  

• Ringraziamenti

• Come inviare e-mail sospette per l'analisi

22 Luglio 2020 ==> Phishing Webmail

«OGGETTO: <Aggiornamento Dell'account>

Questo tentativo di phishing cerca di rubare la password di accesso alla casella di posta elettronica.

Il messaggio informa il cliente che a seguito di alcuni aggiornamenti della banca dati dei loro clienti, si potrebbero riscontrare dei problemi con la consegna della posta. Quindi lo invita a confermare l'account entro 12 ore e ad aggiornare la casella di posta elettronica, attraverso il seguente link:

AGGIORNA ORA

Analizzando la mail notiamo che il messaggio contraddistinto dal layout testuale conciso ed essenziale, proviene da un indirizzo email che non sembra riconducibile ad un dominio di posta elettronica <no-reply(at)zqa(dot)com(dot)au>.

Chi dovesse malauguratamente cliccare sul link AGGIORNA ORA verrà dirottato su una pagina WEB che non ha nulla a che vedere con il server della casella di posta elettronica, ma che, come si può vedere dall' immagine di sotto è impostata in modo ragionevolmente ingannevole per un utente inesperto.

La pagina di accesso alla gestione della casella di posta elettronica è ospitata su un indirizzo/dominio anomalo... Nell'immagine si può notare che la pagina che ospita il form di autenticazione è: https://webmail-yew-284108[.]wl[.]r[.]appspot[.]com

18 Luglio 2020 ==> Phishing Aruba "Rinnovo servizio Giga Mail per dominio"

«OGGETTO: < Rinnovo servizio Giga Mail per dominio >

Di seguito l'ennesimo tentativo di phishing che giunge da una falsa comunicazione da parte di Aruba.

II messaggio informa il ricevente che il rinnovo del suo dominio ospitato su Aruba, scadrà il giorno 18/07/2020, qualora il dominio non venga rinnovata entro tale data, tutti i servizi ad esso associati scadranno e le caselle di posta ad esso associati non potranno più essere utilizzati. Quindi invita il malcapitato a rinnovare i servizi manualmente e ad effettuare l'ordine online attraverso il seguente link:

RINNOVA ORA CON UN CLICK

Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba  è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Analizzando il testo del messaggio notiamo fin da subito che l'indirizzo e-mail del mittente <comunicazioni(at)staff(dot)aruba(dot)it> non proviene dal dominio ufficiale di Aruba, inoltre possiamo notare diversi errore grammaticali nel testo.

L'ignaro destinatario che, malauguratamente, dovesse premere sul link

RINNOVA ORA CON UN CLICK

verrà dirottato su una pagina WEB che non ha nulla a che vedere con il sito di Aruba, ma che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali..

07 Luglio 2020 ==> Phishing Aruba "problema di pagamento"

«OGGETTO: < problema di pagamento >

Di seguito un altro tentativo di phishing che giunge da una falsa comunicazione da parte di Aruba.

II messaggio informa il ricevente che il rinnovo del suo dominio ospitato su Aruba, è stato respinto nonostante diverse richieste di addebito alla sua banca dei costi di rinnovo pari a 7,42 Euro. Quindi invita il malcapitato a rinnovare i servizi manualmente attraverso il modulo di rinnovo, seguendo le istruzioni sul seguente link:

Accedi al tuo account

Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba  è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Analizzando il testo del messaggio notiamo fin da subito che l'indirizzo e-mail del mittente <sikkerhedsteam(at)inaba(dot)ac(dot)id> non proviene dal dominio ufficiale di Aruba.

L'ignaro destinatario che, malauguratamente, dovesse premere sul link

Accedi al tuo account

verrà dirottato su una pagina WEB che non ha nulla a che vedere con il sito di Aruba, ma che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali..

03 Luglio 2020 ==> Phishing Aruba "Risolvi il problema del rifiuto di rinnovare"

«OGGETTO: < AVVISO IMPORTANTE: Risolvi il problema del rifiuto di rinnovare >

Ecco anche questo mese un altro tentativo di phishing che giunge sempre da una falsa comunicazione da parte di Aruba.

II messaggio informa il ricevente che il suo dominio ospitato su Aruba è scaduto il giorno 03/07/2020 ed è quindi stato sospeso, questo significa che al momento il sito non risulta visibile e che tutti i servizi ad esso asociati, comprese le caselle di posta elettronica, non possono essere utilizzati. Invita quindi l'utente a procedere al rinnovo effettuando il pagamento e per incentivare il pagamento con carta di credito viene segnalato che con questo metodo di pagamento, i servizi veranno ripristinati nell'immediato, per procedere al rinnovo basta seguire le istruzioni sul seguente link:

RINNOVA ORA CON UN CLICK

Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba  è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Analizzando il testo del messaggio notiamo fin da subito che l'indirizzo e-mail del mittente <Assistenza(dot)Aruba(at)staffaruba(dot)it> non proviene dal dominio ufficiale di Aruba.

L'ignaro destinatario che, malauguratamente, dovesse premere sul link

RINNOVA ORA CON UN CLICK

verrà dirottato su una pagina WEB che non ha nulla a che vedere con il sito di Aruba.

Come si può vedere dall' immagine di lato la pagina web dove si viene dirottati per il pagamaneto con Banca Sella è impostata in modo ragionevolmente ingannevole per un utente inesperto. La pagina di inserimento dei dati della propria carta di credito per procedere al rinnovo dei serivizi di Aruba è però ospitata su un indirizzo/dominio che non ha nulla a che fare con Banca Sella. Nell'immagine si può notare che la pagina che ospita il form di inserimento dei dati della carta di credito è: https[:]//ecomm-sella-itec2dec54[.]eurometalsas[.]it/sella/pagam/...

In conclusione vi invitiamo sempre a diffidare da qualunque e-mail che richieda l'inserimento di dati riservati, evitando di cliccare su link sospetti, i cui collegamenti potrebbero condurre ad un sito contaffatto difficilmente distinguibile dall'originale, e dove non vanno inseriti per nessun motivo i dati della carta di credito o altri dati sensibili, se non siete certi della provenienza del sito web...in questo modo mettete i vostri dati più preziosi nelle mani di cyber-truffatori per usi di loro maggiore interesse e profitto.

3 Luglio 2020 ==> SexTortion: Password...

Questo mese ritorna il tentativo di SCAM, di cui vi riportiamo di seguito il testo in lingua inglese, che minaccia l'utente di divulgare un suo video privato mentre guarda siti per adulti, e gli propone un'offerta per non divulgare il video tra i suoi contatti mail e social invitandolo a pagare una somma di denaro sottoforma di Bitcoin.

"Ehi, qualche tempo fa il tuo computer è stato infettato dal mio software privato, RAT (Remote Administration Tool). Il mio software mi ha dato accesso a tutti i tuoi account, contatti ed è stato possibile spiarti tramite la tua webcam. Ad esempio, so che al momento dell'infezione la tua password era: ***** A volte ti stavo spiando e poi una volta sono rimasto scioccato nel vederti iniziare a MASTRUBATE, quindi ti ho registrato con il software chiamato: Bandicam, Google se vuoi. Posso condividere il tuo video con tutti i tuoi amici, contatti, pubblicarlo sui social network e ovunque.

Viene quindi richiesto di inviare 500USD in Ethereum (ETH) e viene indicato come fare per inviare denaro, sul portafoglio di seguito indicato: "0xXXXXXXXXXXXXXXXXXXXXXXXXX16c". Dopo aver ricevuto la transazione tutti i dati veranno cancellati, altrimenti in caso contrario un video che ritrae l'utente, verrà mandato a tutti i colleghi, amici e parenti, il malcapitato ha 3 giorni di tempo per effettuare il pagamento!

Analizzando i pagamenti effettuati sul wallet indicato dal cyber criminale "0xXXXXXXXXXXXXXXXXXXXXXXXXX16c" ad oggi 07/07/2020, il wallet risulta vuoto.

In questi casi vi invitiamo a:

1. non rispondere a questo genere di e-mail e a non aprire allegati o a cliccare righe contenenti link non sicuri, e certamente a NON inviare alcuna somma di denaro.
2. Nel caso in cui il criminale dovesse riportare una password effettiva utilizzata dall'utente -la tecnica è quella di sfruttare le password provenienti da Leak (furto di dati compromessi) pubblici di siti ufficiali avvenuti in passato (es. LinkedIn, Yahoo ecc.)- è consigliabile cambiarla e attivare l'autenticazione a due fattori su quel servizio.

Come proteggere i tuoi dati dai tentativi di truffa informatica...

Quello che Vi consigliamo di fare è di cambiare tempestivamente la password di accesso alla posta elettronica, infatti in questi casi il cybercrimanle sostiene di conoscere la Vostra password e in alcuni esempi la password viene riportata nel corpo del messaggio, e se la stessa password viene utilizzata per accedere ad altri account è consigliabile modificarla su tutti gli account in cui è stat utilizzata.
Fate quindi attenzione a non utilizzare le stesse password quando vi iscrivete a diversi tipi di siti/servizi web, in particolare usate password diverse per i servizi sensibili (come l'homebanking, la posta elettronica...), in quanto rischiate di fornire la vostra password su siti poco affidabili che verrebbero facilmente utilizzati per scopi criminali. Sarebbe buona norma quindi differenziare le password usate per ogni sito/servizio web e modificarle sistematicamente.

Se sospetti di essere venuto in contatto con virus, spyware, ransomware o più in generale malware di nuova generazione, come anche mail di potenziale malspam, phishing, e volete analizzare lo stato di compromissione dei Vostri PC, potete inviare gratuitamente il materiale da analizzare al C.R.A.M. Centro Ricerche Anti-Malware di TG Soft attraverso il seguente link => https://www.tgsoft.it/italy/file_sospetti.asp

01 Luglio 2020 ==> Phishing Webmail

«OGGETTO: <Re-Convalida il tuo Webmail.>

Ecco un altro tentativo di phishing, già visto nel mese precedente, che cerca di rubare la password di accesso alla casella di posta elettronica.

Il messaggio informa il cliente che la cassella postale ha supertao il limite di archiviazione come imposto dall'amministratore e che non sarà più in grado di ricevere o inviare nuovi messaggi. Quindi lo invita a riconvalidare la sua casella di posta elettronica, cliccando sul seguente link:

Clicca qui

Analizzando la mail notiamo che il messaggio, contraddistinto dal layout testuale conciso ed essenziale, proviene da un indirizzo email che non sembra riconducibile ad un dominio di posta elettronica <info-wsp(at)frieumbria(dot)it>.

Chi dovesse malauguratamente cliccare sul link Clicca qui verrà dirottato su una pagina WEB che non ha nulla a che vedere con il server della casella di posta elettronica, ma che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali..