Hanno hackerato il sito

[andreafaccina]

Ciao a tutti
Oggi è arrivato un sms truffa a mia moglie con un link che sta nel server del sito!
Taggate gli amministratori che nn so adesso chi sono...
byebye

Andrea^_^

[skywalker67]

Direi che è uno dei tanti scam che girano.

Guarda bene, quello indicato nell'SMS fasullo non è l'indirizzo del forum, ma uno che gli assomiglia.

E guarda caso, queste truffe arrivano quasi sempre da sedicenti indirizzi delle poste italiane.

[Sgualfone]

Credo che intendesse che è arrivato l'sms ad una persona regiatrata al forum quindi in qualche modo hanno il dato che quel numero è registrato su questo forum?

[sniper765]

In fase di iscrizione, sul forum, da nessuna parte viene richiesto il numero di cellulare.
Continuo a pensare, come dice anche Skywalker, che il forum non c'entri niente e che sia una casualità.

[skywalker67]

Infatti.
Che collegamento dovremmo avere noi con le poste italiane?
Che motivo avrebbero le poste italiane di informare qualcuno di un possibile accesso fraudolento al suo profilo delle poste, e di rimandarlo ad finto sito parente del nostro?

[^Juza^]

Per giunta basta che uno visiti un sito e abbia un malware sul telefono che vada a leggere la cache per trovare un sito noto alla vittima....

Non so se funZioni così
Ma di fatto il forum non richiede numeri, non ha a che fare.con poste, se.lo ha di certo non arriva l.info all utente ordinario...

[andreafaccina]

Direi che è uno dei tanti scam che girano.

Guarda bene, quello indicato nell'SMS fasullo non è l'indirizzo del forum, ma uno che gli assomiglia.

E guarda caso, queste truffe arrivano quasi sempre da sedicenti indirizzi delle poste italiane.

Ciao,

il DOMINIO è di questo sito, poi c'è il sottodominio "a3" che magari punta su un altro server amazon aws o simile.

ma il DOMINIO è di questo sito, non ce ne è dubbio.

Per fortuna la pagina incriminata è stata cancellata.

Sta di fatto che hanno hakerato qualcosa nella gestione del sito/dominio. Spesso questi haker sfruttano i forum e simili per fare injection ed entrare nel server web.

by

AG

[stez90]

Infatti, credo che il problema sottolineato da andreafaccina sia proprio l'utilizzo del dominio sv-italia.it . Nel senso, un "esterno" non può creare una pagina ed inserirla in un dominio esistente, è l'amministratore del sito che ha in mano i vari sottodomini/redirect. Se riesce, significa che ha modo di accedere e "manovrare" il dominio. E' quella la preoccupazione principale a mio avviso. Anche perchè gli sms hanno i link in chiaro, per cui il dominio è quello.

[skywalker67]

Ciao,

il DOMINIO è di questo sito, poi c'è il sottodominio "a3" che magari punta su un altro server amazon aws o simile.

ma il DOMINIO è di questo sito, non ce ne è dubbio.

Per fortuna la pagina incriminata è stata cancellata.

Sta di fatto che hanno hakerato qualcosa nella gestione del sito/dominio. Spesso questi haker sfruttano i forum e simili per fare injection ed entrare nel server web.

by

AG

Scusa Andrea, probabilmente io ne so troppo poco in materia e non ci arrivo, ma come può essere lo stesso dominio se gli indirizzi IP a cui i due URL puntano sono completamente differenti?

sv-italia

a3 sv-italia

[pike]

viewtopic.php?p=349878#p349878

Se lo leggi puoi provare di capirlo.

Se non lo capisci, invece, spiegami cosa non capisci.

[skywalker67]

viewtopic.php?p=349878#p349878

Se lo leggi puoi provare di capirlo.

Se non lo capisci, invece, spiegami cosa non capisci.

OK pike, sto cercando di capirci qualcosa, ma non mi è molto chiaro il tutto.

Capisco cosa intendiate tu e Andrea con il fatto che il dominio è lo stesso: "a3" dovrebbe essere un "dominio di terzo livello", gerarchicamente sottomesso a quello di secondo livello "sv-italia". E di certo non è un qualcosa voluto dall'amministrazione del forum.

Mi rimane difficile però capire perchè, a fronte di un dominio di primo e secondo livello uguali ("sv-italia.it"), i server DNS che risolvono il dominio puntino ad indirizzi IP così diversi, e come questo disallineamento possa essere accaduto.

Detta in termini terra terra: se qualcuno si spaccia per una nostra costola, ma le sue pagine risiedono fisicamente fuori dalla nostra giurisdizione, il problema non è originato da una corruzione delle nostre pagine, ma da un evento esterno che "dirotta" eventuali malcapitati su altri lidi potenzialmente malevoli.

O non ho capito proprio nulla?

[pike]

Parte teorica.

Codice: Seleziona tutto

a3.sv-italia.it

non è un dominio di terzo livello, ma un host (magnatelo così, magari se vuoi te lo espando un pochino dopo) del dominio

Codice: Seleziona tutto

sv-italia.it

, lo stesso che trasforma in realtà (e rende accessibile)

Codice: Seleziona tutto

www.sv-italia.it

Perchè questo nome sia tradotto in roba comprensibile ai computer e funzionante, qualche persona ha scritto nel DNS del dominio

Codice: Seleziona tutto

sv-italia.it

che a3 esiste e punta ad un indirizzo ip, v4 (AAA.BBB.CCC.DDD) o v6 (f4f8:e1de:e0f2:02a8:4abb:afd4:befb:628f).
il primo indirizzo è un esempio finto, sostituire numero da 1 a 254 per i vari gruppi, il secondo è vero ma ce ne son talmente tanti che magari ora non esiste nemmeno.

Parte pratica.
Premesso che non so cosa cacchio ci sia scritto nei DNS del sito... a3 per quanto conosco io non ha ragione di esistere. Non significa che non ci sia mai stato o che non abbia un motivo di esistere, bisognerebbe conoscere l'infrastruttura che usa SV-Italia per poter dire "è ok che ci sia" oppure "non è ok". Potenzialmente potrebbe non essere mai esistito e qualcuno ha usato un tipo di attacco specifico (conosciuto come DNS poisoning o spoofing) per raccontare ad abbastanza persone che

Codice: Seleziona tutto

a3.sv-italia.it

esiste e punta ad un indirizzo magari non controllato/pagato da voi ma che contiene roba schifezzosa.
Quanto capitato via sms è chiamato phishing, anche se il termine "truffa" è più diffuso nei media generalisti: mandare un messaggio esca che fa abboccare e fornire altri dati.

Io non ho idea di cosa sia più probabile che sia successo. Ma avvelenare un server DNS internazionale, per quanto non impossibile, è potenzialmente più difficile che rompere/accedere un servizio di hosting per scrivere baggianate nel DNS e tirare su il sito civetta con cui concludere il phishing.

Per quanto conosco e senza pretesa di aver ragione... Potrebbe essere anche capitato altro.
Suggerimento ad @andreafaccina e ad altri (anche solo come test) di forzare un aggiornamento di app sullo smartphone, riavvio incluso.
Suggerimento valido per tutti: se non avete mai usato un antivirus sul vostro telefono, sceglietene uno di sufficiente fama, installatelo come prova e fate una scansione. Un nome che ho usato in passato come test è stato Interceptor X di Sophos, ma non è un endorsment incondizionato.
Cercate info prima installare cose sul telefono e non affidatevi alla prima comparativa/recensione con link pubblicitari.

[skywalker67]

OK, forse intravedo la luce in fondo al tunnel.

Credo che del controllo dei DNS del sito debbano occuparsene Juza e Sniper, in quanto in possesso delle credenziali di amministratore.

Per il resto, che si trattasse di phishing era evidente, meno evidente è come hanno fatto ad inserire (se lo hanno fatto) l'host "a3" tra i DNS del dominio.
Resta curioso il fatto che il messaggio di phishing sia arrivato al numero di telefono della moglie di utente del forum.

Si, una spiegazione della questione Host/Dominio di 3o livello sarebbe molto gradita ed utile.

[pike]

I dominii sono ricorsivi, più o meno quanto ci pare.
Siamo abituati al primo livello (ciò che c'è a destra dell'ultimo punto, tipo i celeberrimi su internet come com, net, org, etc etc o quelli nazionali anche come tv, per esempio), e al secondo livello, che di solito associamo ad una azienda o ad un ente o ad una organizzazione (citiamo qualcosa di semi recente, wikileaks).
Come linkato sopra, ad ogni livello c'è una gerarchia, e qualcuno che ha il diritto di dire "cosa c'è a sinistra del punto". Sino all'ultimo punto a sinistra, ovvero il primo.

Codice: Seleziona tutto

host.domain3.domain2.domain1.ext

ad ogni livello dato dal punto c'è almeno un server DNS che ha l'autorità (autoritativo) di dire chi c'è poi... o prima.
Visto che sinora non esiste un

Codice: Seleziona tutto

castello.corte.sv-italia.it

con il dominio di terzo livello

Codice: Seleziona tutto

corte.sv-italia.it

o secondo il nostro esempio... non esiste un ipotetico

Codice: Seleziona tutto

a1.a3.sv-italia.it

quanto indicato da marcofaccetta è un host e non un dominio di terzo livello.
Salvo DNS poisoning (improbabile, non impossibile) ogni cosa a sinistra di

Codice: Seleziona tutto

.sv-italia.it

è un host definito nel "vostro" server DNS.
https://it.wikipedia.org/wiki/Host#In_Internet
Host è un macrotermine... di solito è un computer/sistema, ma ci sono parecchie tecniche e metodi avere "un host" che in realtà è "più di un host".
Un po come le pastiglie freni... dalle organiche sino alle carboceramice... "son sempre pastiglie", ma non si mescolano tra di loro, non le puoi mettere dappertutto e sono adatte a fare qualcosa ma non qualcos'altro.

[skywalker67]

Grazie pike.
Ora la luce in fondo al tunnel sembra un po' più vicina.