Phishing dei conti DHL: «DHL & PASSWORDS»

Ciao a tutti! Oggi ci concentreremo su un esempio fresco di un semplice phishing dalla pratica reale, come sempre. Analizziamo la seguente lettera:

Come possiamo vedere nello screenshot, c’è un allegato – una pagina htm che viene offerta per essere aperta da un ignaro “destinatario del pacco”.

All’interno di questo documento possiamo vedere un codice JS contenente un valore di stringa Unicode codificato con la funzione “escape”.

Frammento

Possiamo utilizzare la seguente risorsa per decodificarlo frammento:

Dopo la decodifica possiamo vedere che il testo è ancora codificatobase64:

Decodifichiamolo.

Per i nostri scopi possiamo utilizzare per esempio, http://www.artlebedev.ru/tools/decoder/:

Come risultato, riceviamo il codice della pagina che viene aperta localmente, e imita la pagina ufficiale di DHL. Quindi questa pagina è una fonte perfetta per raccogliere email e password degli account DHL.

Tra le altre cose, c’è un link a una risorsa nel corpo di questa pagina:

In qualche modo è considerato essere “chiaro”:

Quando provi ad aprire questa pagina web, vieni reindirizzato al sito DHL. Di conseguenza, l’utente non sospetta nulla se controlla il link nel browser ed è portato a credere di essere sulla pagina web di DHL:

Come possiamo vedere nel traffico, c’è un post con la trasmissione di una password e un’email forniti sulla pagina falsa; e poi c’è un reindirizzamento al sito DHL come previsto.

Quindi c’è un vero phishing degli account DHL.

Possiamo solo bloccare questo link sul firewall e ricordare ancora una volta agli utenti di controllare attentamente il link se viene chiesta loro la password.