Phishing robot#AT#altervista.org

**darkwolf** · 09-01-2010, 00.05.19

Appena ricevuta (@ cambiata in AT):

Dear user of the altervista.org mailing service!

We are informing you that because of the security upgrade of the mailing service your mailbox (diamondsATaltervista.org) settings were changed. In order to apply the new set of settings click on the following link:

hxxp: //altervista.org/owa/service_directory/settings.php?email=diamondsATaltervista.org&from=a ltervista.org&fromname=diamonds

Best regards, altervista.org Technical Support.

Il link punta a:

Codice:

hxxp: //altervista.org.molendf.kr/owa/service_directory/settings.php?email=diamondsATaltervista.org&from=altervista.org&fromname=diamonds

Sorgente:

Codice:

From - Fri Jan 08 22:57:32 2010
X-Account-Key: account1
X-UIDL: GmailId1260feec3d740201
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
X-Mozilla-Keys:                                                                                 
Delivered-To: mioindirizzo-gmail
Received: by 10.216.70.146 with SMTP id p18cs198922wed;
        Fri, 8 Jan 2010 13:54:52 -0800 (PST)
Received: by 10.86.239.17 with SMTP id m17mr9736120fgh.16.1262987690846;
        Fri, 08 Jan 2010 13:54:50 -0800 (PST)
Return-Path: <checksva9@specautomatika.ru>
Received: from f2.avforwarding.com (f2.avforwarding.com [188.40.107.231])
        by mx.google.com with ESMTP id 22si60398558fxm.67.2010.01.08.13.54.50;
        Fri, 08 Jan 2010 13:54:50 -0800 (PST)
Received-SPF: neutral (google.com: 188.40.107.231 is neither permitted nor denied by best guess record for domain of checksva9@specautomatika.ru) client-ip=188.40.107.231;
Authentication-Results: mx.google.com; spf=neutral (google.com: 188.40.107.231 is neither permitted nor denied by best guess record for domain of checksva9@specautomatika.ru) smtp.mail=checksva9@specautomatika.ru
Received: from GLWWSDDI (unknown [41.153.194.3])
	by f2.avforwarding.com (Postfix) with ESMTP id E9E631F47EE;
	Fri,  8 Jan 2010 21:55:41 +0100 (CET)
Received: from 41.153.194.3 by mail.specautomatika.ru; Fri, 8 Jan 2010 23:54:44 +0200
From: "robot@altervista.org" <robot@altervista.org>
To: <diamonds@altervista.org>
Subject: A new settings file for the diamonds@altervista.org mailbox has just been released
Date: Fri, 8 Jan 2010 23:54:44 +0200
Message-ID: <000d01ca90ad$3020d340$6400a8c0@checksva9>
MIME-Version: 1.0
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0006_01CA90AD.3020D340"
X-Priority: 3 (Normal)
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook, Build 10.0.3416
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2869
Importance: Normal

This is a multi-part message in MIME format.

------=_NextPart_000_0006_01CA90AD.3020D340
Content-Type: text/plain;
	charset="Windows-1252"
Content-Transfer-Encoding: 7bit

Dear user of the altervista.org mailing service!We are informing you that because of the security upgrade of the mailing service your mailbox (diamonds@altervista.org) settings were changed. In order to apply the new set of settings click on the following link:http://altervista.org/owa/service_directory/settings.php?email=diamonds@altervista.org&from=altervista.org&fromname=diamondsBest regards, altervista.org Technical Support.Letter ID#4CRHTXNDO7ZMNHC0TV0DHCMTQ4

------=_NextPart_000_0006_01CA90AD.3020D340
Content-Type: text/html;
	charset="Windows-1252"
Content-Transfer-Encoding: quoted-printable

<html xmlns:v=3D"urn:schemas-microsoft-com:vml" xmlns:o=3D"urn:schemas-micr=
osoft-com:office:office" xmlns:w=3D"urn:schemas-microsoft-com:office:word" =
xmlns=3D"http://www.w3.org/TR/REC-html40">

<head>
<META HTTP-EQUIV=3D"Content-Type" CONTENT=3D"text/html; charset=3DWindows-1=
252">


<meta name=3DProgId content=3DWord.Document>
<meta name=3DGenerator content=3D"Microsoft Word 10">
<meta name=3DOriginator content=3D"Microsoft Word 10">
<link rel=3DFile-List href=3D"cid:filelist.xml@BE53429F.71210CD2">
<link rel=3DEdit-Time-Data href=3D"cid:editdata.mso@BE53429F.71210CD2">
</head>
<body>

<p><font face=3D"Lucida Sans Unicode, Lucida Grande, sans-serif">Dear user =
of the altervista.org mailing service!<br><br>We are informing you that bec=
ause of the security upgrade of the mailing service your mailbox (<a href=3D=
"mailto:diamonds@altervista.org">diamonds@altervista.org</a>) settings were=
 changed. In order to apply the new set of settings click on the following =
link:<br><br><a href=3D"http://altervista.org.molendf.kr/owa/service_direct=
ory/settings.php?email=3Ddiamonds@altervista.org&from=3Daltervista.org&from=
name=3Ddiamonds"><font size=3D"2">http://altervista.org/owa/service_directo=
ry/settings.php?email=3Ddiamonds@altervista.org&from=3Daltervista.org&fromn=
ame=3Ddiamonds</font></a><br><br>Best regards, altervista.org Technical Sup=
port.<br><br>Letter ID#4CRHTXNDO7ZMNHC0TV0DHCMTQ4</font></p>

</body>
</html>

------=_NextPart_000_0006_01CA90AD.3020D340--

da notare che io NON ho una mail diamondsATaltervista.org

-
Insomma, se vi arriva una roba simile, cestinate.

**dapeco** · 09-01-2010, 10.37.08

Che simpatici questi sud coreani...

http://www.virustotal.com/it/analisi...d7b-1263025963

**darkwolf** · 09-01-2010, 11.13.40

Originalmente inviato da dapeco

Che simpatici questi sud coreani...

http://www.virustotal.com/it/analisi...d7b-1263025963

Si, quanto la cancrena ai testic* :D
Il file lo hai scaricato dal link indicato? Io ho provato ad aprirlo ma firefox me lo impedisce (sito contraffatto) :P

**dapeco** · 09-01-2010, 11.15.53

Originalmente inviato da darkwolf

Si, quanto la cancrena ai testic* :D
Il file lo hai scaricato dal link indicato? Io ho provato ad aprirlo ma firefox me lo impedisce (sito contraffatto) :P

Sì scaricato, ma era già stato analizzato da altri...

**darkwolf** · 09-01-2010, 11.23.09

Originalmente inviato da dapeco

Sì scaricato, ma era già stato analizzato da altri...

Ok, comunque, per fortuna, l'email è talmente falsa che, si spera, è molto improbabile che qualcuno ci caschi :)
-
Sarebbe anche utile verificare che l'account diamonds e robot non siano compromessi :)

**dapeco** · 09-01-2010, 11.59.25

Originalmente inviato da darkwolf

Sarebbe anche utile verificare che l'account diamonds e robot non siano compromessi :)

L'email non è partita da noi e non sembra legata direttamente a nostri account.

**darkwolf** · 09-01-2010, 12.35.00

Ok, tanto meglio allora :)

**nonsologuide** · 09-01-2010, 13.53.59

ricevuta anche io, anzi... ricevutE (più di una...)
La prima mail si riferiva effettivamente al mio spazio web (nonsologuide), poi ne ricevo un'altra relativa ad un altro spazio web, ed allora decido di cestinarle entrambe

**dapeco** · 09-01-2010, 14.05.07

@nonsologuide: puoi girare l'email intera (comprensiva di headers) all'abuse?

**darkwolf** · 09-01-2010, 14.25.49

@dapeco: me ne è appena arrivata un'altra (leggermente diversa ma identica nella forma)
Giro all'abuse o posto anche questa qui sul forum?
-
Edit: ho inoltrato, con tanto di sorgente, entrambe le mail ma ricevo: Delivery to the following recipient failed permanently... (suppongo vengano considerate spam e quindi respinte, ritento l'invio inserendo le mail in txt allegati).
-
Ri-Edit: controllando la casella (gmail) ho trovato un'altra decina di mail simili nella cartella spam (queste due sono le uniche al momento che son riuscite a passare).

09-01-2010, 15.10.23

Se vi può interessare io ancora non ho ricevuto niente, comunque l'account diamonds è stato sospeso e l'account robot è in costruzione, anche se, come già detto, probabilmente non è connessa direttamente agli account.

**nonsologuide** · 09-01-2010, 15.34.09

@dapeco: per segnalare all'abuse basta inoltrare la mail (+ headers) all'indirizzo abuse[AT antispam]altervista.it ?

**dapeco** · 09-01-2010, 15.51.48

Originalmente inviato da nonsologuide

@dapeco: per segnalare all'abuse basta inoltrare la mail (+ headers) all'indirizzo abuse[AT antispam]altervista.it ?

Si, a quell'indirizzo.

**nonsologuide** · 09-01-2010, 16.46.57

fatto.

PS: sorry per l'indirizzo mail 'in chiaro' nel post precedente...

**nonsologuide** · 10-01-2010, 16.12.12

mi sono arrivate un altro paio di mail... devo inoltrarle tutte ad abusi? oppure posso semplicemente cestinarle?

**dapeco** · 10-01-2010, 16.23.59

se differenti dalla precedenti posso esser utili.

Discussione: Phishing robot#AT#altervista.org

LinkBack

Strumenti discussione

Display

Phishing robot#AT#altervista.org

Regole di scrittura