spam_phishing

Credo che il phishing arrivatomi stamattina raggiunga vette inarrivate nella definizione di una nuova lingua quasi totalmente dissimile all’italiano. Il titolo è promettente: «Questo email deve informarlo che, quello abbiamo dovuto ostruire il vostro accesso di cliente di PayPal Inc.», e già mi vedo i blocchi di cemento per impedire l’accesso a via PayPal. Il «Caro PayPal Inc. utente, » iniziale è una chiara citazione di Asterix e i Britanni, e mi sarei aspettato di trovare una magico pozione. Però non riesco esattamente a capire «perchi abbiamo dovuto aggiornare i nostri assistenti per rimuovere la frode in linea.». O meglio: “perchi” è un perché con il bit alto tagliato, ma gli “assistenti”? Il tutto condito dallo «scattisi qui», che sarebbe appunto il “clicca qui”.
Capisco che il costo nel passare su babelfish un messaggio sia più o meno nullo, ma «Francamente» (come da loro firma) mi chiedo se gli amici che fanno queste cose si rendono conto che nemmeno il più stupido utonto potrebbe cascarci… non foss’altro che perché non riesce a capire cosa ci sia scritto!

Ultimo aggiornamento: 2007-08-29 10:19

Mentre davo una rapida occhiata al phishing che mi è arrivato oggi, mi è saltato all’occhio un avviso di “CartaSi”. Devo dire che era anche scritto in un italiano corretto, per quanto si possa definire “corretta” una frase tipo «Le ricordiamo che ogni estratto conto rimane in linea fino al terzo mese successivo all’emissione».
La cosa interessante è che il sito phisher è http://psyu.ps/titolari.cartasi.it/portal/server.php: il dominio .ps, per chi non lo sapesse, corrisponde all’Autorità Nazionale Palestinese e a suo tempo è stato creato con mille difficoltà, perché l’Autorità Nazionale non è una nazione; la gabola usata per la creazione è “ah, ma noi non facciamo i domain nazionali guardando le nazioni, ma i codici ISO a due lettere – che forse corrispondono alle nazioni, ma per noi è irrilevante”. La politica c’entra anche con Internet, insomma.
Ma la cosa ancora più interessante è un’altra. A giudicare dall’url, questo non è un sito che è stato bucato, ma uno che ha messo su apposta il tutto. D’altronde, la home page è tutta rossa, con titolo SITE DU PS HANNUT e un file flash che non vedo. Però, se uno va a chiedere alla Naming Authority palestinese lumi sul sito, gli viene risposto «The domain “PSYU.PS” has not been registered», anche se il suo indirizzo IP è 66.235.184.156. Un territorio, due nazioni, non si sa quanti siti.
(p.s.: chicca da un più banale phishing di BancaIntesa. La chiusa del messaggio era
«Francamente, Reparto Di Rassegna Di Conti Di Banca Intesa»)

Ultimo aggiornamento: 2007-06-24 17:59

Beh, innanzitutto complimenti a quelli di erbaghju.com per essersi fatti bucare da un phisher che è riuscito a non essere fermato dal filtro antispam di gmail. Le lettere accentate continuano a mancare, e i dati sono diventati data, ma non sottilizziamo.
Ma il bello è il titolo del messaggio: Oggetto: Comunicazione Nr. 0XD2.0X8D.0XDF.0X4B del 5 Giugno 2007 - Leggere con attenzione, con tutta questa serie di numeri esadecimali che può sembrare stupida, ma equivale esattamente all’indirizzo IP dove bisognerebbe “Confirmare Conto”, vale a dire http://0XD2.0X8D.0XDF.0X4B/bancopostaonline.poste.it.
La cosa interessante, però, è questa riga di header:
Received-SPF: fail (google.com: domain of servizio7419@poste.it does not designate 82.213.36.74 as permitted sender)
Tradotto per i non informatici, gmail ha chiesto al server di poste.it se era normale che qualcuno inviasse un messaggio a nome di poste.it da quel computer, e la risposta è stata “manco per idea!”. Il tutto mostra un ottimo lavoro sia da parte di google che di Poste Italiane… peccato che manchi ancora l’ultimo pezzettino, cioè che ti compaia un bell’avviso a tutto schermo “guarda che probabilmente c’è qualcosa che non va in questo messaggio”. Ma chissà, magari ce la faranno prima o poi.

Ultimo aggiornamento: 2007-06-07 17:33

Viene quasi da fare pat pat sulla spalla al tipo che ha postato da cdma-mobile-dyn-BU-89-40-191-163.zappmobile.ro un messaggio da “B A N C 0 P 0 S T A<raffaele.golia-1985[@]poste.it>” dal titolo “N u o v o – M e s s a g g i o – UTKGTUWIIK” e testo
|M e s s a g g i o - d i - e r r o r e|
|La|vostra|sessione|ha|espirato, prego|inizio|attività|ancora.
(terminante con una riga ZNLZDIZUFOFOUIYPCTBWTSRKWGMTZSHMKSQIHV). Il tutto cercando di mandarti a un sito… dove si era dimenticato di attivare il supporto per le CGI).
O almeno potremmo regalargli il filmato della scena di Totò e Peppino che chiedono informazioni al vigile milanese.

Ultimo aggiornamento: 2007-05-18 09:54

A volte i phisher sono quasi patetici.
Non so se riuscite a vedere il carattere iniziale del titolo, che è una “i” russa (quella che assomiglia a una N allo specchio: и) Il signor “poste.it”, anzi pstmt@hawaiiusafcu.com – anche lì, poveretto, poteva scegliersi un indirizzo un po’ più serio tipo servizio@poste.it o sicurezza@poste.it – avrebbe voluto dire che “è necessario identificarsi”: peccato che si sia dimenticato di cambiare charset e abbia lasciato quello cirillico, senza pensare che in italiano vengono usati caratteri ASCII oltre il 127…

Ultimo aggiornamento: 2007-04-16 21:29