Casa Spam: trucchi e consigli antispam

Una fattura decisamente salata…

Scritto da pieru il 14 Ago 2011 alle 11:30 pm | Archiviato in: Report, Virus e Trojan

29 commenti a “Una fattura decisamente salata…”

1. on 15 Ago 2011 at 09:07 # stefano
   
   

   Lo stesso metodo ma link dalla Francia, clonando adirittura un sito. Quanto tempo sprecato per un virus!
   Per il momento anch’io sono immune perchè uso linux!

   Ciao e buon ferragosto!
   Stefano

2. on 15 Ago 2011 at 19:05 # pieru
   
   

   Altra ondata oggi, sempre stessa origine ma con nuove deliziose fragranze:
   Re: Corp. invoice from Anic Corp.
   Re: Intercompany invoice from Boyd Gaming Corp.
   Re: Intercompany invoice from Miltek Corp.
   Re: Inter-company inv. from Novellus Systems Corp.
   Re: Intercompany inv. from ATFT Corp.
   Re: Intercompany invoice from Brookdale Senior Living Corp.
   Re: Intercompany inv. from Hyland Software Corp.
   Re: Intercompany invoice from WLC Corp.
   Re: Corp. invoice from OSN Corp.
   Re: Intercompany invoice from AMR Corporation Corp.

   In alcuni casi il trojan è spedito in allegato, in altri la mail contiene il link. Ci sono anche casi “buffi” di mail senza allegati e senza link, ho controllato nei vari log e l’allegato non è stato rimosso, se lo sono proprio dimenticato! Spammer distratti 🙂

   Buon ferragosto a tutti!

3. on 15 Ago 2011 at 23:29 # Luxor
   
   

   Anch’io l’ho ricevuta. questo il testo:

   Gentile utente, xxxxxxx@yyyyyyyyy.it.

   Monte Biz Tel./Fax.: (055) 597 73 23.
   E necessario leggere e firmare il disegno di legge.
   xhttp://creazioniclaudia.com/includes/information/Invoice.zip?IndexInformaCode203309003345302

   id 280449

   io uso anche linux e anche xp e vista ma nella specie ero in Vista.

   Ma prima di aprire ho cercato il dominio su Google e mi ha indicato questo pregevole sito.

   Grazie.

   (in ogni caso non avrei aperto un .zip sconosciuto)

4. on 15 Ago 2011 at 23:34 # Luxor
   
   

   Mi dispiace, ho stupidamente copiato il link. Per favore chiedo al moderatore di cancellarlo o renderlo non eseguibile (hai visto mai qualcuno volesse cliccarci su)
   aggiungo che ne ho trovata un’altra.
   Questa recita
   Buongiorno, xxxxxxxx@yyyyyyyyy.it.
   La fattura deve essere pagato fino alla prossima settimana.
   Dettagli possono essere trovati all’indirizzo:
   xhttp://www.demagri.com——————
   Pare che si stia diffondendo velocemente

5. on 16 Ago 2011 at 00:34 # pieru
   
   

   Link disattivati e grazie per la segnalazione. Ne stanno arrivando a grappoli, molto simili.

6. on 16 Ago 2011 at 12:50 # Luca
   
   

   Arrivato in azienda e qualcuno ha abboccato….
   era la versione dentro il file zippato allegata alla mail.
   Comodo (la versione precedente…) lo ha fatto passare come acqua fresca

   Il malware apre un fantomatico antivurus che blocca gran parte dei programmi eseguibili Task Manager ecc…

   Vi spiego come l’ho eliminato in 3 minuti da XP:
   ho fatto il restart in modalità provvisoria ed il bastardo parte anche da lì

   Ho lanciato i miei tools preferiti di Sysinternals (autoruns e process explorer)…

   con autoruns ho trovato le 3 istanze del malware che partono in automatico, una è svchost.exe le altre due sono un file nsn.exe depositato nella cartella utente di document and settings.
   Prima di eliminare le 3 istanze con process explorer ho killato il processo nsn.exe ed il svchost.exe incriminato; per capire quale era dei 5 svchost in funzione è bastato guardare i dettagli di ciascuno: in genere è sempre l’ultimo a partire (quello con la ID più alta) ed il tutto è stato confermato dalle proprietà di questo processo che in effetti faceva uso delle dll crypt…., quindi era quello e l’ho killato

   A questo punto torno su autoruns ed elimino tutte le 3 istanze di start.
   FATTO!

   Poi per divertimento vado a prendere il file nsn.exe e lo invio a Virustotal: solo 9 su 43 lo identificano

7. on 19 Ago 2011 at 11:28 # willy
   
   

   Ho ricevuto una email che mi puzza moltissimo.

   Cercando info su google sono arrivato quì.

   L’email riporta questo testo:
   Buongiorno , xxxx@xx.it.
   Si prega di notare che hai una fattura no pagata.

   Dettagli
   xhttp://caseva.es/conto/Pagamento.zip?id=432378

   Esiste un portale Immobiliare di Varese con lo stesso nome solo che ha la desinenza .it

   Caseva.es corriponde ad un portale spagnolo.
   – Primo dubbio –

   Tento di aprire e scaricare l’allegato, ma mi appare il seguente messaggio ” il download di Pagamentozip. non è sicuro e quindi è stato bloccato dal filtro SMARTSCREEN ”

   Secondo ed ultimo dubbio con certezza

   Vorrei analizzare l’header, come posso fare?

   Qualcuni lo sa leggere ed interpretare?

   Info . . . Grazie 1000!

8. on 19 Ago 2011 at 13:44 # pieru
   
   

   Ciao Willy,

   la mail che hai ricevuto somiglia moltissimo a quella che abbiamo analizzato.
   Per visualizzare l’header della mail devi usare l’apposita funzione del programma di posta che stai utilizzando, per esempio su thunderbird devi fare Visualizza->sorgente del messaggio

9. on 20 Ago 2011 at 00:05 # willy
   
   

   X pieru,
   da molto tempo non scarico più la posta sul pc. E’ una questione di scelta,comodità e forse poco più sicurezza.

   Uso + pc ed ovunque mi trovi la leggo direttamente dal server del mio provvider ( Libero, ecc.ecc. ).

   Comunque, se nulla osta, con il permesso dell’admin togliendo i miei dati personali posso postare l’header anche quì.

   Vediamo se qualcuno riesce ad interpretarla ed a fornire ulteriori info a quelle già presentate.

   Aggiungo che personalmente mi piacerebbe molto imparare a leggere e ad interpretare l’header.

   Nel sito esiste una sezione apposita ?

   Grazie 🙂

10. on 20 Ago 2011 at 00:38 # willy
    
    

    Leggendo un post precedente ho pensato di passare il famigerato link a Virustotal.com ed ho ottenuto i risultati che seguono. Da rilevare che qualche antivirus ha toppato,mentre per la maggioranza i risultati discordano tra loro.

    Antivirus
    Version
    Last Update
    Result

    AhnLab-V3
    2011.08.20.00
    2011.08.19

    Spyware/Win32.Zbot

    AntiVir
    7.11.13.154
    2011.08.19

    TR/PSW.Zbot.3477

    Antiy-AVL
    2.0.3.7
    2011.08.19
    Trojan/Win32.Zbot.gen

    Avast
    4.8.1351.0
    2011.08.19

    Win32:Trojan-gen

    Avast5
    5.0.677.0
    2011.08.19

    Win32:Trojan-gen

    AVG
    10.0.0.1190
    2011.08.19

    Generic24.TYO

    BitDefender
    7.2
    2011.08.19

    Trojan.Generic.6438246

    ByteHero
    1.0.0.1
    2011.08.20

    Trojan.Win32.Heur.Gen

    CAT-QuickHeal
    11.00
    2011.08.19

    –

    ClamAV
    0.97.0.0
    2011.08.19

    Suspect.DoubleExtension-zippwd-7

    Commtouch
    5.3.2.6
    2011.08.19

    –

    Comodo
    9803
    2011.08.19

    TrojWare.Win32.Trojan.Agent.Gen

    DrWeb
    5.0.2.03300
    2011.08.20

    Trojan.PWS.Panda.550

    Emsisoft
    5.1.0.10
    2011.08.19

    Trojan-Spy.Win32.Zbot!IK

    eSafe
    7.0.17.0
    2011.08.18
    –

    eTrust-Vet
    36.1.8511
    2011.08.19
    –

    F-Prot
    4.6.2.117
    2011.08.19
    –

    F-Secure
    9.0.16440.0
    2011.08.19

    Trojan.Generic.6438246

    Fortinet
    4.2.257.0
    2011.08.19

    W32/Zbot.CBEV!tr

    GData
    22
    2011.08.19

    Trojan.Generic.6438246

    Ikarus
    T3.1.1.107.0
    2011.08.19

    Trojan-Spy.Win32.Zbot

    Jiangmin
    13.0.900
    2011.08.19

    Trojan/Generic.jyjf

    K7AntiVirus
    9.109.5030
    2011.08.18

    –

    Kaspersky
    9.0.0.837
    2011.08.19

    Trojan-Spy.Win32.Zbot.cbev

    McAfee
    5.400.0.1158
    2011.08.19

    Generic Malware.a!zip

    McAfee-GW-Edition
    2010.1D
    2011.08.19

    Generic Malware.a!zip

    Microsoft
    1.7604
    2011.08.19

    PWS:Win32/Zbot

    NOD32
    6394
    2011.08.19

    a variant of Win32/Kryptik.RRC

    Norman
    6.07.10
    2011.08.19

    W32/Zbot.XND

    nProtect
    2011-08-19.01
    2011.08.19

    Gen:Variant.Kazy.34157

    Panda
    10.0.3.5
    2011.08.19

    Generic Trojan

    PCTools
    8.0.0.5
    2011.08.19
    –

    Prevx
    3.0
    2011.08.20
    –

    Rising
    23.71.03.03
    2011.08.18

    Trojan.Win32.Generic.128CB645

    Sophos
    4.68.0
    2011.08.19

    Mal/Zbot-CX

    SUPERAntiSpyware
    4.40.0.1006
    2011.08.19

    Trojan.Agent/Gen-Falcomp.Process

    Symantec
    20111.2.0.82
    2011.08.19

    Infostealer.Banker.C

    TheHacker
    6.7.0.1.281
    2011.08.19

    Trojan/Spy.Zbot.cbev

    TrendMicro
    9.500.0.1008
    2011.08.17

    –

    TrendMicro-HouseCall
    9.500.0.1008
    2011.08.20

    –

    VBA32
    3.12.16.4
    2011.08.19

    –

    VIPRE
    10212
    2011.08.19

    Virtool.Win32.Obfuscator.da!g (v)

    ViRobot
    2011.8.19.4629
    2011.08.19

    –

    VirusBuster
    14.0.177.0
    2011.08.19

    TrojanSpy.Zbot!YCU1LHr3dI4

11. on 20 Ago 2011 at 12:02 # pieru
    
    

    @willy: se vuoi postare l’header non ci sono problemi, sono uno dei due admin per cui puoi considerarti ufficialmente autorizzato. Non c’è una sezione apposita nel sito anche perchè le informazioni che si possono ricavare dall’header non sono poi così tante. Diverso il discorso se, ad esempio, hai così tanti casi da esaminare che sugli header riesci a fare una statistica ma non è questo il nostro caso.

    Magari potrebbe essere utile per individuare qualcosa di sospetto per un neofita ma dubito che un neofita si metta a guardare gli header, per definizione 🙂

12. on 20 Ago 2011 at 23:47 # willy
    
    

    Ok pieru.
    ecco l’header incriminato. Solitamente, seppur neofita, ho preso l’abitudine di curiosarci. Ad esempio quante email con l’indicazione che “la tua carta di credito Postepay . . . ” riproducendo fedelmente il sito delle poste. Poi vai a curiosare l’header e ti accorgi che il link che ti prometteva una verifica del tuo conto ti porta altrove !

    >>>>>>°>
    Segue lheader incriminata. Ho cecatodi cancellare i numeri con delle “x” per non identificare il mio IP.Per problemi di spam, in fase di approvazione ti autorizzo a cancellare le parti che portano al mio IP

    >>>>>°>

    Return-Path:
    Received: from mailrelay01.libero.it (192.xxx.xx.xxx) by ims3e9.libero.it (8.6.015.08)
    id 4DF9C74901B86973 for xxxxxx@iol.it; Thu, 18 Aug 2011 04:13:28 +0200
    Received: from mtalibero16.libero.it (EHLO mtalibero16.libero.it) ([192.xxx.xx.xxx])
    by mailrelay01.libero.it
    with ESMTP id EIF51593;
    Thu, 18 Aug 2011 04:13:28 +0200 (CEST)
    Authentication-Results: mtalibero16.libero.it; dkim=neutral (message not signed) header.i=none
    Received-SPF: SoftFail identity=mailfrom; client-ip=83.243.45.2;

    (spedito dal Nederland mediante un server della Germania ? Giusto? )

    receiver=mtalibero16.libero.it;
    envelope-from=”Supportpay@plaestrategicgranollers.cat”;
    x-sender=”Supportpay@plaestrategicgranollers.cat”;
    x-conformance=spf_only;
    x-record-type=”v=spf1″
    X-LREMOTE-IP: 83.243.45.2
    Received: from shell1.powershells.de (HELO shell1) ([83.243.45.2])
    by mtalibero16.libero.it with ESMTP; 18 Aug 2011 02:13:28 +0000
    Received: from [83.243.45.2] by shell1 id Ki6xvwtZL7Wc; Thu, 18 Aug 2011 04:13:26 +0200
    Message-ID:
    From: “CFX Group.”
    To:
    Subject: Fwd: Rispondi
    Date: 18/08/2011 4.13
    MIME-Version: 1.0
    Content-Type: text/plain;
    charset=”windows-1252″
    Content-Transfer-Encoding: 8bit
    X-Junkmail-Status: score=10/55, host=mailrelay01.libero.it
    X-Junkmail-Signature-Raw: score=unknown,
    refid=str=0001.0A0B020D.4E4C7548.00CC,ss=1,re=0.000,fgs=0,
    ip=83.243.45.2,
    so=2011-06-21 16:49:39,
    dmn=2011-06-08 23:29:05,
    mode=multiengine
    X-Junkmail-IWF: false
    X-Mirapoint-Virus-RAPID-Raw: score=unknown(0),
    refid=str=0001.0A0B020D.4E4C7548.00CC,ss=1,re=0.000,fgs=0,
    ip=83.243.45.2,
    so=2011-06-21 16:49:39,
    dmn=2011-06-08 23:29:05
    X-Mirapoint-Loop-Id: 5c24c154cec53076711b57064f5fbd02
    X-libjamoibt: 2587

13. on 21 Ago 2011 at 16:52 # willy
    
    

    ho forse inoltrato dei dati non corretti?

14. on 05 Ott 2011 at 10:01 # pieru
    
    

    willy: colpa mia, in questi giorni stiamo cambiando server quindi un po’ il caldo un po’ la stanchezza mi ero dimenticato di approvare il tuo commento, scusa.

15. on 23 Ott 2011 at 23:56 # Ric
    
    

    Ciao a tutti, sono il pollo che vuoi la noncuranza, vuoi la fiducia sul controllo di avg, vuoi la fretta di controllare e spegnere il pc, ha fatto partire quel finto doc e si è fatto mandare in pallone win7…
    L’effetto è stravagante, windows si avvia (o quasi) ma al termine del caricamento non ho desktop o barra delle applicazione nè nient altro ma posso accedere alla gestione attività con un ctrl alt canc.
    Cosa posso fare?
    Grazie

16. on 25 Ott 2011 at 01:09 # lidia
    
    

    anch’io nel dubbio di questa mail sono finita qui,e io sono una di quelle boccalone di solito(e non ci capisco nulla di virus antivurus,insomma,sono una frana),ma stavolta la “fattura” mi puzzava,mezza ricerca e il num di tel mi portava in svizzera,ma puzzava ancora e sono finità qui…..meno male!!!!grazie 🙂

17. on 28 Feb 2012 at 09:50 # giorgio
    
    

    Ho letto l’articolo dopo aver ricevuto la stessa mail, in pratica ogni volta che ricevo una mail di spam come quella di cfx prima di qualsiasi cosa faccio una ricerca su web …e trovo questi bellissimi articoli che ti spiegano come funziona la truffa su internet. Volevo solo complimentarmi per la spiegazione chiara e precisa.

18. on 12 Mar 2012 at 09:41 # diego
    
    

    Ho fatto come Giorgio. Non ho neppure aperto la mail. Grazie e complimenti.

19. on 10 Mag 2012 at 08:00 # erminio
    
    

    anche a me stamane ne è arrivata una Gentile utente,

    Siete stati fatturati. Numero 69759128.
    Essa dovra essere versata in un prossimo futuro
    File Pdf con i dettagli necessari per il download all’indirizzo:
    recruitpeak.com/riferire/riferire.zip

    però aggiungo provenendo da una truffa di quelle vere alla quale insieme a tanti altri cybernauti stiamo dando battaglia che potremmo tutti firmare la petizione al link:
    netalert.wordpress.com/
    che obbligherebbe (non lo so) o comunque ci permetterebbe di far pressioni affinchè chi di dovere emetta delle regole che impediscano al primo cretino che si crede furbo di far danni in rete

20. on 10 Mag 2012 at 08:02 # erminio
    
    

    agli admin ….. mannaggia ho copiato tutto , vogliate rendere inefficace il link degli imbecilli e vi prego di scusarmi di nuovo

21. on 14 Giu 2012 at 10:22 # Simone
    
    

    L ho aperta su ipad2 avrò conseguenze? Il,file ____________exe. O solo Windows?

22. on 14 Giu 2012 at 10:59 # pieru
    
    

    Tranquillo 😉

23. on 14 Giu 2012 at 11:00 # pieru
    
    

    Gli eseguibili windows funzionano solo su windows, non credo proprio che la cosa ti darà problemi. Attenzione però che usare sistemi operativi NON Microsoft non significa essere invulnerabili 🙂

24. on 15 Lug 2013 at 15:46 # Roberto
    
    

    Salve quasi certamente sono uno dei pollacioni che ci e’ cascato. Ho trovato nello spam una mail con scritto ” salve xxx xxxxx su richiesta le inviamo copia della fattura.” In realta’ era un eseguibile.zip. Che io al massimo della furbizia ho aperto sul tablet samsung. Il guaio e’ che non riesco a capire in quali guai posso essere incappato. Sono un utente amazon e sono solito fare acquisti su web.
    Mi potete indicare come posso correreai ripari. Grazie e saluti Roberto

25. on 17 Lug 2013 at 10:30 # pieru
    
    

    Controlla con attenzione il tablet, ci sono vari sistemi per diagnosticare se ci sono stati problemi.
    In realtà la maggior parte di virus, trojan e compagnia bella è progettata per fare danni funzionare su windows. Un sistema android (o linux, apple, ios) non viene quindi infettato da un software pensato per compromettere sistemi windows.
    Questo non significa che si può abbassare la guardia: potrebbe essere solo questione di tempo prima che software malevoli comincino a diffondersi su altri sistemi, man mano che questi diventano popolari e quindi appetibili per spammer e truffatori vari.

26. on 19 Lug 2013 at 13:59 # claudio
    
    

    Ciao.

    La mia domanda è :

    Da dove hanno preso il mio nome e cognome ?

    Non ne ho mai scaricato uno di file, ma me ne inviano diversi al giorno.

    Chi gli dà l’indirizzo con il nome???

27. on 27 Lug 2013 at 17:03 # gianni
    
    

    Stamattina mia sorella mi ha inoltrato una mail.
    Ingenuamente ho cliccato sul link ..***.biz/ pagamento.zip
    il file lo scaricato sia sul telefonino che sul tablet samsung “sistema operativo android”.
    il messaggio è stato il seguente “non è stato possibile aprire il file”.
    non ne capisco nulla qualcuno sa dirmi se ho infettato il telefonino e il tablet?
    premetto io con questi oggetti eseguo home banking.
    ho cancellato il file.
    aiutatemi

28. on 19 Ago 2013 at 15:27 # pieru
    
    

    Claudio, hanno un sacco di modi per saperlo. Per esempio intercettando qualche email in cui ci sei anche tu tra i destinatari, hai presente quegli appelli tipo: “per salvare i gattini del nord africa inoltra questo messaggio a tutti i tuoi amici”? Ecco, questo è uno dei modi, uno dei più diffusi.
    Oppure possono “spazzolare” forum e siti vari in cerca di nomi e cognomi associati ad indirizzi email, ci sono software specializzati che fanno questo.
    Purtroppo sono bravi!

29. on 19 Ago 2013 at 15:29 # pieru
    
    

    Premesso che non posso essere sicuro al 100% vorrei tranquillizzarti. QUasi sicuramente il virus (il malware o quello che era) contenuto nel file zip era progettato per funzionare su un sistema windows. Sul android questo tipo di infezioni non funziona.
    Insomma anche se non posso essere sicuro al 100% probabilmente per questa volta ti è andata bene!

Lascia un commento