Allegro wykorzystane przez złodziei, którzy nie umieją spreparować e‑maila
"Przesyłam maila otrzymanego dzisiaj rzekomo od Allegro z próbą wyłudzenia wpłaty i zapewne uzyskania dostępu do konta Allegro" – pisze do redakcji dobrychprogramów Janek, prosząc o ostrzeżenie innych użytkowników. Oszustw tego rodzaju było na pęczki, ale to jest na swój sposób szczególne: napastnik bardzo nietypowo spreparował maila.
Sposób działania przestępcy jest z grubsza klasyczny. Ofiara otrzymuje maila z prośbą o symboliczną zapłatę, tym razem pod pretekstem uregulowania prowizji Allegro.
Formatowanie nie jest najwyższych lotów, ale logo Allegro, charakterystyczna kolorystyka i groźba blokady konta mogą uśpić czujność. A zaszyty we wiadomości odnośnik prowadzi oczywiście do fałszywej bramki płatności, która służy do wykradania danych bankowych, o czym mogliście czytać już wielokrotnie. Nie klikać, nie podawać żadnych danych, wiadomo.
Nietypowych danych dostarcza natomiast analiza nagłówka fałszywej wiadomości
Co zrozumiałe, domena jest sfałszowana, a mailing idzie z chmury. Tagi starają się udawać maila newsletterowego przed filtrami, jednak nadawca wciąż jest fałszywy.
Teraz najlepsze: sender jest nie tylko sfałszowany, ale także bezsensowny. Bo wskazuje na ręcznie wysyłaną wiadomość z Webmaila. Niemniej spośród konsumenckich usług mailowych chyba jedynie Gmail ma stosowne zabezpieczenia i filtry, aby tego typu zabieg wykryć.
A to nie koniec niespodzianek. Wszystkie możliwe tropy, w tym fałszywa bramka płatności, prowadzą do serwera w USA. Siedzi tam linuksowa infrastruktura, Linux 4.4, postawiona jednak zapewne wyłącznie w celu dokonania oszustwa. Jest też SSH na porcie 22. Akceptuje hasła i klucze, ale każda kolejna próba wydłuża czas oczekiwania. Więc atak brute force'owy odpada.
Tak czy inaczej, widać, że oszustwo nie jest wyjątkowo eleganckie. Ba, właściwie to przedstawia się dość zabawnie od strony technicznej. Ale swoje żniwo niestety zebrać może. Odpowiadając na prośbę Janka, przypominam o rozwadze przy dokonywaniu płatności przez nadsyłane linki.
