spam_phishing

È da qualche giorno che mi capita, mentre navigo, di vedere un messaggio popup che mi avvisa che un applet è stata scaricata, la sua provenienza è sicura, e se voglio lanciarla. Come potete immaginare, io da un sito che si chiama ad esempio http://w74.vq265j.won-ppp.info non accetterei nemmeno una caramella: generalmente dico di no, e amen. Ma ieri sera mi è capitato mentre ero al telefono con xlthlx, e lei mi fa “sì, capita spesso con Splinder”. In effetti avevo appena aperto un link a un blog su Splinder. Guardo il sorgente, e non vedo nulla di strano. Riapro il link, e non vedo nulla di strano. Guardo nella cache, e vedo i seguenti file:
– http://w74.vq265j.won-ppp.info/adsl.jpg?1206211871
– http://w74.vq265j.won-ppp.info/htm/winscript-40.htm?1206211871
– http://w74.vq265j.won-ppp.info/htm/script-55.php?1206211870&cc2=it
– http://w74.vq265j.won-ppp.info/htm/cc1.php?p=55&cc2=it
oltre che una di quelle immagini da un pixel per uno che servono per vedere se tu ti sei connesso.
Mi chiedo se effettivamente il problema sia interno a Splinder: in ogni caso, se vedete queste strane richieste, ricordatevi di rifiutarle!
Aggiornamento: (26 marzo) Si direbbe che la colpa non sia di Splinder, ma del contatore di statistiche a superstat.info. Sto preparando una notiziola a riguardo.

Ultimo aggiornamento: 2008-03-23 08:07

Ugo mi ha detto che ieri ne hanno parlato anche al tiggì. Non so nulla, la tivvù non la guardo: so solo quello che capita a me :-)
Il messaggio che ho ricevuto stamattina è un classico, a parte una strana minuscola e il punto iniziale:
.Ci SONO MESSAGGI PER TE!
chiama da tel. fisso 89.94 377 91
info e costi www.imessaggi.net/
Il mittente è un numero che a prima vista può sembrare Vodafone, visto che è +37493893766 e un mezzo dislessico come me può leggere “347”: ma in realtà questo è un numero telefonico armeno, e in effetti il messaggio è stato spedito dall’Armenia: il centro servizi ha infatti come numero +37493297333. In pratica, qualcuno ha comprato con un forte sconto un pacco di sms dagli armeni, e lo sta usando per spammare amabilmente la gente.
Ma la parte più interessante è quella che riguarda il sito www.imessaggi.net. Casualmente non si trova traccia dell’899 indicato nel messaggino; c’è solo una presa per i fondell… no, scusate il tecnicismo, una noticina in fondo alle condizioni d’uso che afferma verbatim «Il suo numero non è presente nessun database, il messaggio che ha ricevuto potrebbe esserle stato inviato da un utente del sito.» A parte che io un amico così lo menerei, vi lascio immaginare che razza di disclaimer possa essere. Ma che offre esattamente questo sito? Un fantasmagorico servizio. Tu chiami un numero 899, e «puoi inviare la bellezza di 270 sms al prezzo strepitoso di 15 euro IVA compresa, poco più di 5 cent cadauno!» Occhei, è più vicino a sei centesimi che a cinque, ma la matematica non deve essere il forte di questi amici; tra l’altro, i 270 SMS sono assolutamente contingentati – massimo 9 al giorno per trenta giorni consecutivi – quindi il costo pratico è ben più alto, e con ogni probabilità se una persona deve inviare tutti quei messaggi fa più in fretta a comprarsi una carta servizi dell’operatore che gli interessa.
Ma chi sono questi amiconi di “imessaggi.net”? Non si sa. Il Whois riporta infatti questo:
PrivacyProtect.org
P.O. Box 97
All Postal Mails Rejected, visit Privacyprotect.org
Moergestel
null,5066 ZH
Tel. +45.36946676
Insomma, si sono premuniti per la loro privacy di usare un servizio anonimizzatore dei dati personali… e si sa che quando si tratta di soldi gli svizzeri sono muti come tombe. Vabbè. Ma tanto voi affezionati lettori non ci sareste mica cascati, vero?

Ultimo aggiornamento: 2008-03-18 12:25

Tra ieri e oggi, Anna ha ricevuto due messaggi da tale “Alberto Zemen Detective”, con titolo PRATICA CHIUSA (tutto maiuscolo) e testo
Ciao Beppe, ho chiuso la pratica investigativa su Lara, trovi in allegato il viedo (versione intagrale). Mi raccomando massima riservatezza.
Alberto Zemen Detective.
Occhei, un paio di errori di ortografia, ma nulla di così strano. Né uno va a vedere qual è l’indirizzo IP del mittente (88.255.121.86, un bel provider turco). Anna ovviamente non ci è cascata, ma se qualcuno provasse ad aprire l’allegato Video-10-03-08.zip (di 46K, alla faccia della compressione dati!) troverebbe un file LaraVideo.Mpg.dat che non sono riuscito ad aprire (in teoria è un file jpg di 32×32 pixel, ma anche rinominato mi dà errore) e un file MpegPlayer.exe che ovviamente non mi sono certo sognato di aprire :-)
Ecco un classico esempio di programma troiano: perché mai uno dovrebbe andare a vedere un video che ha ricevuto “per sbaglio”? Beh, perché nell’immaginario collettivo quel video potrebbe avere delle immagini porno amatoriali, no? Ecco. Chi è causa del suo mal, pianga sé stesso.

Ultimo aggiornamento: 2008-03-13 16:59

Essendo io un curiosone, faccio spesso ricerche sul mio cognome (che poi è anche il nome di un paesone, quindi può capitare relativamente spesso). Bene, oggi ho ottenuto questo risultato. In pratica, come potete notare dando un’occhiata ai brani riportati, sembra che su Google Groups qualcuno stia creando dei gruppi e li popoli con “articoli” formati da parole a caso.
È vero che testi come «Vojvoda Verstegan (1787-1851) was culmulated in Codogno, Malvasia, but blogged to the Ss-163 Crichtons at an non-kaled age.» hanno una loro intrinseca poeticità e sono sicuramente migliori delle poesie Vogon (ah, ieri era l’anniversario della nascita di Douglas Adams). Però naturalmente la vera ragione di fare questi gruppi è poter mettere all’interno dei post una serie di link… ad altri gruppi Google. Il tutto immagino per far salire artificialmente il pagerank dei gruppi stessi e quindi usarli per spammare qualcosa di serio. La domanda è: quando se ne accorgeranno a Google?

Ultimo aggiornamento: 2008-03-12 17:00

Di spam in turco ne ricevo credo da un decennio. Ma stavolta trovarmi un messaggio dall’eloquente :-) titolo “Ban muon ton it Tien ma dat hieu qua kinh doanh cao khong?” mi ha stupito per un attimo.
Sono così andato a verificare, e la mia ipotesi era corretta: è spam vietnamita (da INking@1088.vn, per la cronaca). Non parlando la lingua – so a malapena riconoscerla dai caratteri usati – non posso garantire di che tratti lo spam; ma guardando la figura oserei dire che è un servizio di escort locali. (Per i guardoni: il disegno è assolutamente casto, è inutile cliccarci sopra per vedere chissà che).
Mi chiedo solo se Ho Chi Minh sarebbe felice di sapere come i Vietcong si siano trasformati nei decenni…

Ultimo aggiornamento: 2008-03-12 09:37

Le truffe nigeriane (i cosiddetti 419, dall’articolo del codice penale locale assolutamente disatteso), in cui qualcuno ci chiede aiuto per portare all’estero dei soldi di qualche ex dittatore o ministro improvvisamente morto) sono una costante da una decina d’anni almeno. Solo che quello che mi è arrivato oggi è il primo caso di un simile messaggio in “italiano”. Scusate le virgolette, ma date un’occhiata al testo:
Buongiorno,
So che non lo conoscete personalmente, tuttavia io voglia che lo aiutavate dopo lettura della mia posta. Tengo a metterli al corrente che lavoro in una banca qui in Costa d’Avorio come direttore del servizio dei trasferimenti, fuoco Sig.ra. Lany Johnson aveva depositato la somma di $3.500.000 alla nostra banca prima che sia morta e da quando è morta nessuno non è venuto per i reclami di questi fondi.Vorrei dopo lettura della mia posta che la contattavate affinché possa fornirvi le precisazioni complete sul modo in cui i fondi saranno trasferiti nel vostro conto bancario senza alcuno problema.
Per la vostra informazione questa transazione è al 100% senza rischio. Per il vostro aiuto vi darò il 30% di questi fondi.
Grazie e che dio voi benedica.
Io voi pregati di autorizzare l’espressione delle mie sensazioni più distinte.
Il Sig. Tim Benson.
Devo comunque aggiungere che sarà anche vero che Repubblica (cartacea) oggi diceva che l’italiano è la lingua con la maggior quantità di phishing dopo l’inglese; però la settimana scorsa mi era arrivato un 419 in tedesco, sicuramente più corretto di quanto lo parli io, tra l’altro. Forse siamo messi così male che i phisher ritengono che non serva nemmeno scrivere in italiano corretto :-(

Ultimo aggiornamento: 2008-02-10 17:06

Sicuramente (beh, quasi) sapete che cosa è tumblr: un raccoglitore pubblico di cose trovate in rete, che assomiglia a un blog ma non è un blog. Anch’io ho un tumblr, se non ve ne foste accorti: di per sé è indicato da qualche parte qui nella pagina delle notiziole, ma forse dovrei modificare il template.
Bene: Phonkmeister segnala che è possibile ottenere automaticamente una segnalazione a caso da un tumblr, attaccandoci dietro “/random”. Quindi (quasi) chiunque cliccherà su http://mau.tumblr.com/random troverà qualcosa di diverso che in un momento della mia vita ho trovato interessante.
Due soli appunti: manca un casualizzatore “globale” su tutto il sito, e poi io avrei appunto scritto “randm” invece che “random” :-)

Ultimo aggiornamento: 2008-02-08 08:54

Sono passati nove mesi da questo post, ma io ne sono venuto a conoscenza solo oggi, e quindi ne parlo oggi.
Così a prima vista non sembra ci sia nulla di strano: un programmatore informatico che fa notare, in un newsgroup dedicato agli handicap, che i CAPTCHA non possono essere usati dai ciechi.
Peccato che facendo una ricerca “Fabio Petta spam” si scopra che più che un “programmatore informatico” il nostro amico e il suo fratello Stefano abbiano tutta una serie di siti da cui arrivano richieste di iscrizione non esattamente in stile opt-in. In effetti i CAPTCHA sono scomodi, in certi casi…

Ultimo aggiornamento: 2008-02-05 15:32