INDICE dei PHISHING

Di seguito riportiamo i tentativi di phishing a mezzo email più comuni, rilevati dal Centro Ricerche Anti-Malware di TG Soft nel mese di marzo 2023:

28/03/2023 => Smishing - GLS Ritira il tuo pacco
27/03/2023 => SexTortion
16/03/2023 => SexTortion
16/03/2023 => Aruba - Dominio in scadenza
14/03/2023 => Aruba - Dominio in scadenza
10/03/2023 => Aruba
08/03/2023 => SexTortion
07/03/2023 => Q8
07/03/2023 => Aruba
01/03/2023 => Unieuro


Queste email hanno lo scopo di ingannare qualche malcapitato inducendolo a fornire dati sensibili, come le informazioni del conto corrente, i codici della carta di credito o credenziali di accesso personali, con tutte le possibili conseguenze facilmente immaginabili.

• Un po' di attenzione e colpo d'occhio, possono far risparmiare parecchi fastidi e grattacapi...

• Prova Vir.IT eXplorer Lite

• Ora disponibile VirIT Mobile Security
  

• Ringraziamenti

• Come inviare e-mail sospette per l'analisi

28 Marzo 2023 ==> Smishing: GLS Ritira il tuo pacco

Ecco che ritroviamo il tentativo di truffa via sms che si cela dietro a una falsa comunicazione relativamente alla consegna di un presunto pacco.

II messaggio segnala all'ignaro ricevente che il suo pacco è stato consegnato al punto di consegna in data 28-03-2023. Viene quindi indicato un link per visualizzare il punto di consegna dove ritirare il pacco.

Chi dovesse cliccare sul link verrà rimandato su una pagina web, dalla quale è possibile riprogrammare la consegna del presunto pacco in sospeso:


Viene quindi indicato il codice di tracciamento da utilizzare, notiamo tuttavia, nell'immagine di lato, che l'indirizzo url presente sulla barra del broswer è quantomai sospetto:

itgiftclub[.]live
 

Dall'immagine in basso ci viene segnalato che la consegna del pacco è in sospeso a causa del mancato pagamento delle spese di spedizione pari a Euro 2.00. Cliccando su ''Programma la consegna adesso' si viene rimandati sulla schermata successiva...

La successiva schermata ci richiede come preferiamo che venga effettuata la consegna del pacco: "Voglio che mi venga consegnato" o "Lo andrò a ritirare io stesso".

Seguono altre 2 schermate come la precedente, dove ci viene richiesto dove preferiamo che venga effettuata la consegna del pacco: "A casa" o "Al lavoro" e quando preferiamo che venga consegnato: "Giorni lavorativi" o "Weekend".
Dopo aver selezionato le nostre preferenze, finalmente arriviamo ad una nuova videta che ci conferma l'invio del pacco, con consegna stimata entro il 31/03/2023, dopo il pagamento delle spese di spedizione....A questo punto cliccando su ''Inserisci le informazioni per la consegna' si viene rimandati su un'ulteriore pagina per l'inserimento dei propri dati di contatto e il pagamento delle spese di spedizione di €2.00.  


theproducttomiss[.]net

Lo scopo di tutto questo è indurre l'utente ad inserire i suoi dati personali, per rendere il messaggio veritiero vengono anche riportati dei commenti positivi di altri utenti che sembrerebbero aver ricevuto il loro pacco...

In conclusione vi invitiamo sempre a diffidare da qualunque email che richieda l'inserimento di dati riservati, evitando di cliccare su link sospetti, i cui collegamenti potrebbero condurre ad un sito contraffatto difficilmente distinguibile dall'originale, mettendo i vostri dati più preziosi nelle mani di cyber-truffatori per usi di loro maggiore interesse e profitto.

27 Marzo 2023 ==> SexTortion

Persiste la campagna SCAM a tema SexTortion. Di seguito un'altro esempio di campagna dove a differenze degli altri esempi riportati, in questo caso viene inserito nel testo della mail anche la password del malcapitato, il tutto per rendere la truffa più credibile.

Di seguito Vi riportiamo un estratto del testo della mail di lato:

" Qualche mese fa sono riuscito ad accedere al tuo dispositivo che usi per navigare in internet. Dopodiché, stavo osservando tutta la tua attività su Internet. Ecco la prova che ho violato questa email. La tua password al momento in cui ho avuto accesso alla tua email: ******
Come visitatore sistematico di siti Web per adulti, sei l'unico responsabile di tutte le conseguenze di ciò. In poche parole, tutti i siti web da te visitati mi hanno aiutato ad accedere ai tuoi dati. Il cavallo di Troia è stato caricato da me nel tuo sistema di driver e aggiorna continuamente le sue firme numerose volte durante il giorno, con l'intenzione di rendere l'antivirus incapace di notarlo. Inoltre, mi consente di accedere al microfono e alla tua fotocamera. Con la presente, potrei facilmente eseguire il backup di tutte le tue informazioni, oltre a social media, foto, elenco di contatti e chat. Non molto tempo fa, mi è venuta in mente un'idea geniale di montare il video in una sezione dello schermo,[...], mentre il video originale viene riprodotto contemporaneamente su un'altra sezione dello schermo. È stato così divertente! Non commettere errori, posso semplicemente condividere questo video con l'intero elenco dei tuoi contatti tramite diversi clic del mouse, e immagino che preferiresti decisamente evitare che quello scenario si avveri."

Viene quindi richiesto di versare una somma di 1650USD sul wallet indicato per il pagamento.
Analizzando i pagamenti effettuati sul wallet indicato dal cyber criminale alla data del 29/03/2023, risultano le seguenti transazioni:

"12XgXXXXXXXXXXXXXXXXXXXXXXqdj" risulta 1 transazione dell'importo di 1705,56 USD.



In questi casi vi invitiamo sempre a:

1. non rispondere a questo genere di e-mail e a non aprire allegati o a cliccare righe contenenti link non sicuri, e certamente a NON inviare alcuna somma di denaro, si possono tranquillamente ignorare o eliminare.
2. Nel caso in cui il criminale dovesse riportare una password effettiva utilizzata dall'utente -la tecnica è quella di sfruttare le password provenienti da Leak (furto di dati compromessi) pubblici di siti ufficiali avvenuti in passato (es. LinkedIn, Yahoo ecc.)- è consigliabile cambiarla e attivare l'autenticazione a due fattori su quel servizio.

14 - 16 Marzo 2023 ==> Phishing Aruba - Rinnovo automatico

«OGGETTO: <Caselle@**** in scadenza >

Ecco l'ennesimo tentativo di phishing che giunge da una falsa comunicazione sempre da parte di Aruba.

II messaggio informa il ricevente che il suo dominio ospitato su Aruba collegato al suo account di posta scadrà il giorno 16/03/2023. Lo informa quindi che qualora il dominio non venga rinnovato, tuttii servizi a questo assoociati, veranno disattivate, comprese le caselle di posta elettronica, non potrà più quindi ricevere e inviare messaggi.  Invita quindi l'utente a rinovare il dominio attraverso ilseguente link:

RINNOVA IL DOMINIO


Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba  è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Analizzando il testo del messaggio notiamo fin da subito che l'indirizzo e-mail del mittente <nesbt(at)nesbt(dot)com> non proviene dal dominio ufficiale di Aruba.

Chi dovesse malauguratamente cliccare sul link RINNOVA IL DOMINIO verrà dirottato su una pagina WEB anomala, che non ha nulla a che vedere con il sito ufficiale di Aruba,  ma che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali..

08 -16 Marzo 2023 ==> SexTortion

Persiste la campagna SCAM a tema SexTortion. L'e-mail sembrerebbe far desumere che il truffatore abbia avuto accesso al dispositivo della vittima, che ha utilizzato per raccogliere dati e i video personali, per poi ricattare l'utente richiedendo il pagamento di una somma di denaro, sottoforma di Bitcoin, per non divulgare tra i suoi contatti mail e social un suo video privato mentre guarda siti per adulti.

Di seguito Vi riportiamo un estratto del testo della mail di lato:

" Negli ultimi due mesi ti ho osservato. Ti stai ancora chiedendo come sia possibile? Bene, sei stato infettato da malware proveniente da un sito Web per adulti che hai visitato. Forse non lo conosci, ma cercherò di spiegartelo. Con l'aiuto del Trojan Virus, ho accesso completo a un PC o qualsiasi altro dispositivo. Questo significa semplicemente che posso vederti in qualsiasi momento desidero sul tuo schermo semplicemente accendendo la videocamera e il microfono, senza che tu te ne accorga. Inoltre, ho anche accesso alla tua lista di contatti e a tutta la tua corrispondenza. Potresti chiederti: "Ma il mio PC ha un antivirus attivo, com'è possibile? Perché non ho ricevuto alcuna notifica?" Bene, la risposta è semplice: il mio malware utilizza i driver, in cui aggiorno le firme ogni quattro ore, rendendolo non rilevabile e quindi mantenendo silenzioso il tuo antivirus. Ho un video di te che ti masturbi sullo schermo di sinistra, e sullo schermo di destra - il video che stavi guardando mentre ti masturbavi. Ti chiedi quanto potrebbe andare male? Con un solo clic del mio mouse, questo video può essere inviato a tutti i tuoi social network e contatti e-mail..."

Le 2 campagne analizzate del 8 e 16 marzo, riportano una richiesta di riscatto rispettivamente di 1450 e 1600 USD in Bitcoin.  Analizzando i pagamenti effettuati sui due wallet indicati dal cyber criminale alla data del 29/03/2023, risultano le seguenti transazioni:

"1KRBXXXXXXXXXXXXXXXXXXXXXXMSJ" non risultano esserci transazioni;

"1EMwXXXXXXXXXXXXXXXXXXXXXXAhq"  risulta 1 transazione dell'importo di 1455,34 USD.



In questi casi vi invitiamo sempre a:

1. non rispondere a questo genere di e-mail e a non aprire allegati o a cliccare righe contenenti link non sicuri, e certamente a NON inviare alcuna somma di denaro, si possono tranquillamente ignorare o eliminare.
2. Nel caso in cui il criminale dovesse riportare una password effettiva utilizzata dall'utente -la tecnica è quella di sfruttare le password provenienti da Leak (furto di dati compromessi) pubblici di siti ufficiali avvenuti in passato (es. LinkedIn, Yahoo ecc.)- è consigliabile cambiarla e attivare l'autenticazione a due fattori su quel servizio.

07 Marzo 2023 ==> Phishing Q8

OGGETTO: <Partecipa al sondaggio e vinci 200€ di Buoni Benzina>

Ritroviamo anche questo mese, il seguente tentativo di phishing si spaccia per una falsa comunicazione da parte di Q8.

Il messaggio è molto di impatto in quanto riguarda una tematica molto attuale e che pesa sulle tasche di tutti gli italiani, quello del rincaro dei prezzi del carburante "Sfida il caro benzina e la sorte".
Il messaggio fà leva sulla possibilità di vincere un buono carburante del valore di 200€ partecipando alla fortunata estrazione, attraverso il seguente link:

PARTECIPA ORA

In prima battuta notimao che la mail di alert giunge da un indirizzo email <news(at)news(dot)tutto29con99(dot)com> che non proviene chiaramente dal dominio ufficiale di Q8.

Chi dovesse malauguratamente cliccare sul link PARTECIPA ORA verrà rimandato su una pagina WEB anomala, che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali..

07 e 10 Marzo 2023 ==> Phishing Aruba - Rinnovo automatico

Di seguito segnaliamo 2 tentativi di phishing che sembrano giungere da una falsa comunicazione da parte di Aruba.


Nei 2 esempi riportati in alto, molto simili, viene segnalato al cliente che il suo dominio su Aruba sta per scadere e lo invita quindi a rinnovare prima della scadenza.

In entrambi i casi l'intento è quello di portare l'utente a cliccare sul link riportato nella mail:

RINNOVA   CON UN CLIC

RINNOVA IL DOMINIO

Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba  è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Per riconoscere questi tentativi di phishing è necessario innanzittutto analizzare l'indirizzo e-mail del mittente, che come possiamo vedere nei 2 casi riportati: <support(at)oraclerealestate(dot)it> e <support(at)smarthub(dot)tj> ; non provengono dal dominio ufficiale di Aruba.

Molto spesso questi messaggi sono e-mail scritte male che contengono errori di ortografia oppure richieste di rinnovo per servizi che non sono in scadenza, in quanto fanno leva sull'urgenza o sulla sicurezza dei propri dati per far si che l'utente proceda a inserire i propri dati.

Un altro elemento da analizzare sono i link o allegati che questi messaggi contengono, che di solito rimandano ad un sito web contraffatto dove viene richiesto l'inserimento dei propri dati personali come nome utente e password del proprio account o dati personali come la carta di credito per effettuare il rinnovo dell'account e che, se inseriti, verrebbero utilizzati da cyber-criminali per scopi criminali..

01 Marzo 2023 ==> Phishing Unieuro

OGGETTO: < Festeggia l'anniversario di Unieuro con un Pallet Elettronica GRATUITO >

Di seguito un tentativo di phishing, che si cela dietro una falsa comunicazione apparentemente proveniente da Unieuro che millanta la possibilità di vincere un Pallet di Elettrodomestici.

Il messaggio, che riportiamo di lato, è graficamente ben impostato, e sembra proprio un'offerta imperdibile. Il fortunato utente è stato selezionato, in occasione dell'anniversario della catena italiana di elettronica ed elettrodomestici, per vincere il fantastico premio, partecipando ad un sondaggio.

"Sei stato scelto per partecipare al nostro Programma fedeltà per FREE! Ti ci vorrà solo un minuto per ricevere questo fantastico premio."

Analizzando la mail, notiamo che il messaggio proviene da un indirizzo email sospetto <el_rhazrafi(dot)ihs(dot)fst(at)uhp(dot)ac(dot)ma>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse cliccare sul link INIZIA ORA verrà rimandato su una pagina web, dove viene richiesto di partecipare ad un breve sondaggio per vincere dei nuovi elettrodomestici firmati Unieuro.

Dalla videata riportata, il sito sembra riconducibile a Unieuro, ma possiamo notare che la pagina è ospitata su un indirizzo/dominio anomalo, che riportiamo di seguito:

https[:]//chemicalsgas[.]com/cff02e58...

Cliccando su INIZIA ORA, si viene rimandati alle schermate successive, dove viene richiesto di rispondere a 8 domande, di seguito ne riportiamo alcune...

Domanda 1

Domanda 2

Domanda 3

Domanda 4

Al termine del sondaggio, finalmente arriviamo ad una nuova videta che ci fa selezionare il nostro premio, grazie alle informazioni fornite come esperienza del consumatore. Selezionando il pallet di elettrodomestici, che comprende una serie di articoli restituiti dalla sezione elettronica, del valore di Euro 699,99 per i fortunati vincitori il premio viene offerto gratuitamente!! Basterà pagare solo le spese di spedizione e inserire il proprio indirizzo di spedizione e in 5-7 giorni lavorativi il premio verrà consegnato....

A questo punto si viene rimandati su un'ulteriore pagina, come da immagine in basso, per l'inserimento del proprio indirizzo per la spedizione e il pagamento delle spese di spedizione. 

Lo scopo dei cyber criminali invece è proprio quello che l'utente inserisca i suoi dati sensibili e i dati della carta di credito che vengono richiesti per il pagamento!

La pagina su cui si viene rimandati, per l'inserimento dei propri dati personali, è ospitata su un indirizzo/dominio anomalo, che riportiamo di seguito:

https[:]//productsmania[.]net/c/RzeGD77?...

In conclusione vi invitiamo sempre a diffidare da messggi pubblicitari/promozionali che milantano di "regalare" oggetti di valore, evitando di cliccare su link sospetti, i cui collegamenti potrebbero condurre ad un sito contraffatto, mettendo i vostri dati più preziosi nelle mani di cyber-truffatori per usi di loro maggiore interesse e profitto.

Un po' di attenzione e colpo d'occhio, possono far risparmiare parecchi fastidi e grattacapi...

Vi invitiamo a NON farvi ingannare da queste tipologie di e-mail che, anche se utilizzano tecniche di approccio già viste e non particolarmente sofisticate, se vi è una recrudescenza, con ragionevole probabilità, più di qualche malcapitato viene ingannato.
 
Vi invitiamo a consultare, per maggiori approfondimenti, le seguenti informativa sulle tecniche di Phishing:

06/02/2023 17:29 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di febbraio 2023...
02/01/2023 15:28 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di gennaio 2023...
02/12/2022 15:04 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di dicembre 2022...
04/11/2022 17:27 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di novembre 2022...
05/10/2022 11:55 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di ottobre 2022...
06/09/2022 15:58 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di settembre 2022...
04/08/2022 16:39 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di agosto 2022...
06/07/2022 12:39 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di luglio 2022...
06/06/2022 14:30 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di giungo 2022...
02/05/2022 11:06 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di maggio 2022...
06/04/2022 16:51 - Phishing: i tentativi di furto credenziali e/o dati maggiormente diffusi nel mese di aprile 2022...
08/03/2022 17:08 - Phishing: i tentativi di furto delle credenziali maggiormente diffuse nel mese di marzo 2022..

Prova Vir.IT eXplorer Lite

Se non doveste ancora utilizzare Vir.IT eXplorer PRO è consigliabile installare, ad integrazione dell'antivirus in uso per aumentare la sicurezza dei vostri computer, PC e SERVER indifferentemente, Vir.IT eXplorer Lite -FREE Edition-.

Vir.IT eXplorer Lite ha le seguenti caratteristiche peculiari:

• liberamente utilizzabile sia in ambito privato sia in ambito aziendale con aggiornamenti Motore+Firme senza limitazioni temporali;
• interoperabile con eventuali altri AntiVirus, AntiSpyware, AntiMalware o Internet Security già presenti su PC e SERVER, consigliato l'utilizzo ad integrazione dell'AntiVirus già in uso poichè non conflitta nè rallenta il sistema ma permette di aumentare sensibilmente la sicurezza in termini di identificazione e bonifica dei file infetti;
• identifica e, in moltissimi casi, anche rimuove la maggior parte dei virus/malware realmente circolanti o, in alternativa, ne permette l'invio al C.R.A.M. Centro Ricerche Anti-Malware di TG Soft per l'analisi e l'aggiornamento di Vir.IT eXplorer per l'univoca identificazione e la corretta rimozione;
• grazie alla tecnologia Intrusione Detection, resa disponibile anche nella versione Lite di Vir.IT eXplorer, il software è in grado di segnalare eventuali virus/malware di nuova generazione che si siano posti in esecuzione automatica e procedere all'invio dei file segnalati al C.R.A.M. di TG Soft.
• Procedi al  download di Vir.IT eXplorer Lite dalla pagina ufficiale di distribuzione del sito di TG Soft.

 

VirIT Mobile Security AntiMalware ITALIANO per TUTTI i dispositivi Android^TM

VirIT Mobile Security software Anti-Malware Italiano che protegge smartphone e tablet Android™, da intrusioni di Malware ed altre minacce indesiderate, e che dà la possibilità all'utente di salvaguardare la propria privacy con un approccio euristico avanzato (Permission Analyzer).
 

TG Soft rende disponibile gratuitamente VirIT Mobile Security accedendo al market di Google Play Store (https://play.google.com/store/apps/details?id=it.tgsoft.virit) dal quale è possibile prelevare la versione Lite, liberamente utilizzabile sia in ambito privato che aziendale.

E’ possibile eseguire il passaggio alla versione PRO, acquistandolo direttamente dal nostro sito https://www.tgsoft.it/italy/ordine_step_1.asp

 

Ringraziamenti

Il Centro Ricerche Anti-Malware di TG Soft ringrazia tutti i gli utenti, i clienti, i tecnici dei rivenditori e tutte le persone che hanno trasmesso/segnalato al nostro Centro Ricerche materiale riconducibili ad attività di Phishing che ci hanno permesso di rendere il più completa possibile questa informativa.

Come inviare e-mail sospette per l'analisi come possibili phishing ma anche virus/malware o Crypto-Malware

L'invio di materiali da analizzare al Centro Ricerche Anti-Malware di TG Soft per l'analisi che è sempre e comunque gratuito può avvenire in tutta sicurezza in due modalità:

1. qualsiasi e-mail che sia da considerarsi sospetta può essere inviata direttamente dalla posta elettronica del ricevente scegliendo come modalità di invio "INOLTRA come ALLEGATO" e inserendo nell'oggetto "Possibile Phishing da verificare" piuttosto che "Possibile Malware da verificare" alla mail lite@virit.com
2. salvare come file esterno al programma di posta elettronica utilizzato la mail da inviare al C.R.A.M. di TG Soft per l'analisi. Il file che ne risulterà dovrà essere inviato facendone l'Upload dalla pagina di INVIO File Sospetti. Naturalmente per avere un feed-back rispetto al responso dell'analisi dei file infetti inviati sarà necessario indicare un indirizzo e-mail e sarà gradita una breve descrizione del motivo dell'invio del file (ad esempio: possiible/probabile phishing; possibile/probabile malware o altro).

Per maggiori approfondimenti su come inoltrare in sicurezza e-mail sospette vi invitiamo a consultare la seguente pagina pubblica: Come inviare e-mail sospette per l'analisi
Tutto questo per aiutare ad aiutarvi cercando di evitare che possiate incappare in furti di credenziali, virus/malware o ancor peggio Ransomware / Crypto-Malware di nuova generazione.


C.R.A.M. Centro Ricerche Anti-Malware di TG Soft