Niebezpiecznik

Warto odnotować jako ciekawostkę, z racji dość specyficznej i wąskiej grupy docelowej. Jak informuje nasz czytelnik:

Ktoś zarejestrował domenę uw-edu.pl :)
Wykorzystana do phishingu, udaje stronę logowania w buwie: hxxp://login.han.buw.uw-edu.pl/login/userPassword.php
Wyłudzenie danych logowania może zapewnić zdalny dostęp do płatnych baz naukowych.

Rozsyłany był mail z linkiem do spreparowanej strony i “prośbą od profesora”, z adresu udającego adres e-mail profesora jakiejś amerykańskiej uczelni. Z tego co mi wiadomo mail nie trafił do wszystkich pracowników jak leci. Nie wiem czy maila otrzymali też studenci. Strona została zgłoszona i prawdopodobnie zablokowana w sieci uniwersyteckiej. Zgłaszam jako ciekawostkę, że zabierają się za “niefinansowe” instytucje :)

Dane z WHOIS:

DOMAIN NAME: uw-edu.pl [80.82.69.11]
registrant type: individual
nameservers: ns1.hihellobye.in.
ns2.hihellobye.in.
created: 2016.05.25 22:21:11
last modified: 2016.06.04 01:12:54
renewal date: 2017.05.25 22:21:11

inetnum: 80.82.69.0 - 80.82.69.255
netname: SC-QUASI75
descr: QUASI
country: SC
org: ORG-QNL3-RIPE
admin-c: QNL1-RIPE
tech-c: QNL1-RIPE
status: ASSIGNED PA
mnt-by: QUASINETWORKS-MNT
mnt-lower: QUASINETWORKS-MNT
mnt-routes: QUASINETWORKS-MNT
created: 2016-01-23T22:52:22Z
last-modified: 2016-01-23T22:52:22Z
source: RIPE


Ciekawe czy celem rzeczywiście był dostęp do płatnej bazy prac naukowych. A może za pomocą tych credentiali można uzyskać “coś jeszcze”? Z naszego krótkiego śledztwa wynika, że na tym samym serwerze hostowana była inna kampania phishingowa związana z domeną (także biblioteki):

ccu-edu.tw - hxxp://er.lib.ccu-edu.tw/Cgi-Bin/er/LoginPage.php

Aktualizacja 15:05
Mamy informację, że także UJ padł ofiarą podobnego ataku:

Szanowni Państwo,

Ostrzegamy przed fałszywą stroną logowania do Extranetu UJ. Niektórzy z Państwa otrzymali wiadomość z rzekomą prośbą o przesłanie elektronicznej wersji artykułu dostępnego poprzez extranet UJ. Prośba zawiera 2 donośniki: do fałszywej strony extranetu oraz do rzeczywistego artykułu w serwisie ScienceDirect.

Odnośnik do fałszywej strony extranetu operuje adresem extranet.uj-edu.pl (myślnik po uj).
Poprawny adres naszego extranetu to extranet.uj.edu.pl (kropka po uj).

Proszę pod żadnym pozorem nie logować się na stronie, której adres zaczyna się od extranet.uj-edu.pl .
Jeśli ktoś z Państwa już wykonał logowanie na fałszywej stronie, prosimy o jak najszybsze dokonanie zmiany hasła w jeden z dwóch podanych niżej sposobów:
– poprzez Punkt logowania ( https://login.uj.edu.pl ) – należy zalogować się do Punktu logowania, wybrać zakładkę „Zmiana hasła”, wprowadzić nowe hasło
– poprzez Osobisty Profil Tożsamości (https://idm.uj.edu.pl/OPT ) – należy zalogować się do OPT, kliknąć przycisk „Zmiana/uzgodnienie hasła” na dole ekranu, wprowadzić nowe hasło, zapisać poprzez kliknięcie ikony dyskietki

Aktualizacja 21:53
Także PW miała być atakowana.

Aktualizacja 4.7.2015
Otrzymaliśmy treść e-maila, jaki został skierowany do jednej z uczelni:

Subject: Re:
Date: Wed, 29 Jun 2016 18:32:55 -0400
From: Michel Cote michel.cote@umontreall.ca
Reply-To: Michel Cote michel.cote@umontreall.ca
To: @if.pw.edu.pl

Re:

Hi

Dear Dr. XXX

I recently read your last article and it was very useful in my field of research.

I wonder, if possible, to send me these articles to use in my current research:

1- http://gate.bg.pw-edu.pl/userPassword.php?http://www.sciencedirect.com/science/article/pii/S1571064515000214

2- http://www.sciencedirect.com/science/article/pii/S1571064515000238

Thanks for you Cooperation in Advance.

Prop.Michel Cote
Montreall University
Faculty of Arts and Science
Department of Physics
phone: 514-343-5699