Segnalazioni spam/malware relative Enti o associazioni.

[frakka]

In questa sezione, riporto questa email.

E' subdola perchè abbastanza ben fatta: L'italiano è abbastanza corretto, il mittente risulta associato ad un dominio esistente e valido (Enasarco) ma con un po' di attenzione si possono individuare elementi sospetti.

Seppure la mail provenga da una presunta mailing list, il tono è un po' troppo colloquiale per una comunicazione formale e mancano molti accenti (caratteri non frequenti nelle altre lingue quindi uno dei più probabili errori da parte di un traduttore straniero).
La citazione al decreto legge è abbastanza corretta ma, senza voler scendere nel dettaglio dei commi citati, dovrebbe essere "D.P.R. n. 617/90 e dal D.M. 93 dicembre 2012" e non "D.P.R.T. n. 617/90 e dal D.M. 93 dicembre 2012"
Il link fornito per il download dell'applicativo è ospitato sul dominio "entrateagenziait.com", un dominio che suona in un italiano piuttosto forzato. Inoltre, una semplice verifica con Google permette a chiunque di identificare il vero dominio dell'agenzia delle entrate che non è quello ma "agenziaentrate.gov.it"

Se poi proprio vogliamo fare i pignoli, la dimensione del file da scaricare è veramente minima. Un file del genere è usualmente troppo piccolo per poter essere quello che dice di essere.

-----Messaggio originale-----
Da: Support [mailto:enasarco.itfirrd@enasarco.it]
Inviato: mercoledì 18 febbraio 2015 16:59
A: XXXXXXXXX
Oggetto: Agenzia Entrate: Prevenzione e contrasto dell'evasione.


Ciao

Si invitano tutte le persone fisiche e giuridiche a visionare e seguire con rigore Le Linee Guida fornite dall'Agenzia delle Entrate.

E sufficiente seguire le indicazioni per evitare di essere segnalato dal sistema come un soggetto "a rischio" dopo il primo controllo basato sul c.d. "redditometro".

Il materiale da consultare (Le Linee Guida) viene consigliato specialmente ai soggetti che utilizzano i servizi telematici finanziari (es. Internet Banking).


Nell'ambito dell'attivita di controllo nei confronti delle persone fisiche e giuridiche, nel 2014 e stata data attuazione alla normativa prevista dall'art. 02, commi quarto e seguenti del D.P.R.T. n. 617/90 e dal D.M. 93 dicembre 2012 (il cosiddetto Redditometro).


A questo riguardo e stato predisposto il nuovo applicativo informatico "A.E.V.E", destinato alle attivita di analisi del rischio sulle persone fisiche e di ausilio alla determinazione sintetica del reddito.

Si tratta di uno strumento innovativo che sara oggetto di implementazioni e miglioramenti volti ad ottimizzarne le funzionalita.

Installare l'applicazione:
http://entrateagenziait.com/.redditometro/download/AEVE.zip?965308

[Trattore]

Ciao frakka, data la mia inesperienza mi chiedo come facciano a far comparire come mittente un altro dominio (capita anche con le email che ricevo dalle presunte banche)

[frakka]

Interessante questione: Tutti usiamo le email ma la maggior parte delle persone usa questo strumento senza conoscerne i limiti, la tua domanda offre quindi un utile spunto.

Purtroppo alterare il mittente di una email è di una semplicità imbarazzante... Questo perché, esattamente come avviene con la corrispondenza ordinaria, è il mittente che dichiara la propria identità e il server che riceve la mail (nel caso in esempio, il tuo gestore di posta) non è tenuto ad effettuare alcuna verifica sulla veridicità della dichiarazione.

Ti riporto un esempio.
Quanto segue può essere riprodotto da qualunque pc con accesso ad un terminale (il normale prompt dei comandi di Windows è sufficiente), l'unico requisito è avere i comandi telnet ed nslookup installati (credo sia di default nelle installazione di Windows Pro, nelle altre si può installare da "Pannello di controllo", cercando tra le "funzionalità di Windows"). Il server SMTP a cui spedire la mail è una informazione pubblica, si può ricavare molto facilmente interrogando un DNS qualunque (quello della tua rete locale!!) oppure usando uno dei tanti servizi online che permettono di recuperare il record MX di un dominio.

Un transazione SMTP (il protocollo utilizzato dai server di posta per scambiarsi messaggi) si basa su una sequenza di messaggi che i server di scambiano. Tale sequenza segue una struttura standard molto semplice che si può riprodurre scrivendo i comandi a mano sul terminale.
Supponiamo ora di voler spedire una mail fake alla mailbox di un povero moderatore di Nexthardware spacciandosi per giampa...

1_ Individuiamo l'indirizzo del server SMTP che gestisce il dominio nexthardware.com, a cui spediremo la mail.

C:\nslookup
> set q=mx
> nexthardware.com
[...]

2_ Digitiamo nel terminale, una sequenza di comandi piuttosto semplice:

telnet <nome/IP.del.server.ottenuto.prima> smtp

E questa è la trascrizione (le righe che iniziano con un numero sono le risposte del server ai miei comandi). Ti assicuro che ci ho messo di più ad alterare l'immagine per mascherare i veri indirizzi ed i nomi dei server (in realtà ho spedito dal mio server di casa, che non ha nulla a che vedere con il dominio nexthardware.com, verso una mia email sui server di Libero, usando però veramente "posta.qualcuno.it" per presentarmi al server ed il vero indirizzo di Giampa come falso mittente in modo che venisse riconosciuto dalla mia rubrica) che non a spedire la mail...



3_ E questo è il risultato (lascia stare la codifica caratteri, ho pasticciato un pochino scrivendo!!):




Con il dilagare dello spam qualche controllo in più è stato aggiunto. Sono comparsi alcuni strumenti e implementate alcune tecniche che permettono al server ricevente di dedurre se all'altro capo della transazione c'è o meno l'entità che si è identificata ma anche fornire queste info non è obbligatorio oppure non sempre funziona o altre volte il controllo non è per nulla implementato.

In sostanza: Dato che è chi spedisce la e-mail che dichiara la propria identità ed il server destinatario generalmente la prende per buona senza ulteriori controlli, il "mittente" dichiarato di una email è l'informazione meno "sicura" che questa contiene per identificare chi realmente ha spedito...

[Trattore]

Supergrazie Matteo per la risposta con tanto di esempio pratico

Non immaginavo una cosa di questo tipo e mi lascia molto triste questa mancanza di sicurezza

Informazione molto utile, farò ancora più attenzione

[frakka]

Non immaginavo una cosa di questo tipo e mi lascia molto triste questa mancanza di sicurezza
Informazione molto utile, farò ancora più attenzione

Di nulla, anzi... Grazie a te per la domanda.

Sono particolarmente intollerante verso tutte quelle soluzioni (di qualunque vendor) che promettono (o permettono) alla gente di fare mirabilie senza sapere come funziona lo strumento che stanno usando: Non ho alcuna pretesa che una persona, come potrebbere essere mio padre o mia madre, per spedire una email impari cosa è un server SMTP, un record MX o chissà quale altra diavoleria ma ritengo indispensabile che chiunque utilizzi le e-mail sappia quali sono i limiti dello strumento che sta usando (appunto, ad esempio questa la debolezza nel sistema di identificazione del mittente).
Purtroppo nella maggior parte dei casi non è così e chi usa lo strumento neppure si pone il problema che possano esserci, determinati limiti... Ogni occasione di parlarne, è quindi benvenuta.

[frakka]

Finta email dall'Enel.

La mail:


La pagina a cui rimanda il link:

[Rais]

Togliendo che il mittente sembra creato da un tizio poco scolarizzato in crisi convulsiva su una tastiera, ma il dominio di quel sito è davvero singolare.

A proposito, come hanno avuto accesso al dominio ENEL.it?

[frakka]

Non c'è bisogno di avere accesso al dominio, vedi la spiegazione che ho dato prima a Trattore.

Infatti il sito a cui rimandano è su un dominio che con enel non c'entra nulla.

[Totocellux]

[...]
A proposito, come hanno avuto accesso al dominio ENEL.it?

così, giusto per sorridere un po, ecco una app sullo store ufficiale Android che dimostra
fattivamente quanto sia facile praticare su smartphone quello che è stato spiegato da
Matteo:

https://play.google.com/store/apps/d...ymail&hl=it_IT

[Trattore]

Allucinante