PHISHING: ONE SHOT, MANY VICTIMS! Andrea Draghetti

Transcript

1 PHISHING: ONE SHOT, MANY VICTIMS! Andrea Draghetti

2 $ whoami Phishing Analysis and D3Lab Team BackBox Linux

3 Phishing Il Phishing è un tipo di truffa effettuata su Internet attraverso la quale un malintenzionato cerca di ingannare la vittima convincendola a fornire informazioni personali, dati finanziari o codici di accesso, fingendosi un ente affidabile in una comunicazione digitale. {Wikipedia}

4 Che cos è il Phishing? Un problema delle vie urinarie? % Un tentativo di frode? % Fonte: - Sondaggio presente dal 27 Ottobre 2016

5 Che cos è il Phishing? Un problema delle vie urinarie 46 % Un tentativo di frode 54 % Fonte: - Sondaggio presente dal 27 Ottobre 2016

6 Statistiche Internazionali Siti internet univoci rilevati in attività di Phishing Fonte: Anti-Phishing Working Group

7 Statistiche Italiane

8 Principali Enti Italiani Colpiti Poste Italiane PayPal Italia Cartasì Apple Italia Intesa S.Paolo Visa ( )

9 Cashout su INPS Card Indagine Forze di Polizia 1,5 milioni euro mila euro Marzo 2017

10 Phishing as a Service

11 Phishing as a Service

12 Phishing as a Service

13 Diffusione:

14 Diffusione: SMS

15 Diffusione: Ads

16 Tecniche: Random Path Sottodomini e Sottodirectory random per evitare le BlackList

17 Tecniche: Shorturl e Redirect ontworesearchvessels/almostkilometresfrom/ichangtothenearbyhree/ loginfile/

18 Tecniche: Shorturl e Redirect sa=t&rct=j&q=&esrc=s&source=web&cd=2&cad=rja&uact=8&ved=0ahukewi mx4fknbptahwciywkhyjhcwgqfggwmae&url= &usg=afqjcngoanaz8ewujshair7yiztzecq7ya

19 Tecniche: Shorturl e Redirect

20 Tecniche: Filtri GeoIP

21 Tecniche: Certificati SSL

22 Tecniche: Upload Documenti

23 Tecniche: Typosquatting e Dominii Dedicati Domain Name: pay-pal.cash Registrant Name: Contact Privacy Inc. Customer Registrant Organization: Contact Privacy Inc. Customer Registrant Street: 96 Mowat Ave Registrant City: Toronto Registrant State/Province: ON Registrant Postal Code: M4K 3K1 Registrant Country: CA Registrant Phone: Registrant Phone Ext: Registrant Fax: Registrant Fax Ext: Registrant acdsgztowsrl@contactprivacy.

24 Tecniche: Typosquatting e Dominii Dedicati bposte.it payposta.it posteita.biz postepaya.info posterdir.info bancoposte.info bancuoposta.biz bancuoposta.com mypostalert.com postepay.eu.com bancopostait.com bancuoposta.info postedmailer.com posteevolution.eu posteevolution.net pposteevolution.com postepay-login-spa.it sicurezzaposteweb.net poste-verification.com sicurezzaposteweb.info contoposteevolution.com bancoposta-spa-certifica.it Domain: bancoposta-spa-certifica.it Status: ok Created: :25:39 Last Update: :51:59 Expire Date: Registrant Organization: FILIPPO POLINO Address: via filangieri 13 ROMA RM IT Created: :25:38 Last Update: :25:38 (Poste Italiane - Registrati a Aprile 2017)

25 Tecniche: DNS Fast Flux

26 Tecniche: Real Time Cloning Vengono verificate le credenziali ed estratte le informazioni necessarie dal sito autentico per rendere più attendibile la truffa. In questo caso: Nome Intestatario Carta Saldo Ultimo Accesso

27 Tecniche: Command and Control

28 Tecniche: Command and Control

29 Tecniche: Command and Control

30 Dove viene ospitato il Phishing CMS Vulnerabili (Wordpress, Joomla, Drupal, ecc) Hosting (Spazio web acquistato) Virtual or Dedicated Server (acquistati o vulnerabili)

31 Non solo banche Provider TLC Servizi Web Operatori Energetici Gioco d'azzardo ( )

32 Operatori Telefonici

33 Provider

34 Compagnie Aeree

35 Servizi

36 Operatori Energetici

37 Operatori Energetici

38 Shopping

39 Intrattenimento

40 Darknet

41 Darknet

42 Social Network

43 Social Network

44 Social Network

45 Social Network

46 Social Network

47 Social Network

48 Simulazione hackinbo.it - hacklnbo.it Easter Egg: random@hackinbo.it

49 Simulazione Dati Acquisiti per Utente: Nominativo User Agent Browser Realizzazione Campagne Ad-Hoc User Agent Client Posta Elettronica IP Localizzazione (approssimativa)

50 Simulazione 249 e Nominativi 78 Device Android 26 Device iphone 5 Device ipad 119 Browser Chrome 56 Browser FireFox 50 Browser Safari

51 Q&A I materiali e i contenuti delle slide sono protetti da licenza CC BY-NC 3.0