Discussione Telefono Android resettato grazie ad un link

[Bynary01]

Salve ragazzi, scrivo qui per raccontare l’esperienza di un amico che dopo aver cliccato su un link di scam inviatogli da un contatto chiamato “POSTE ITALIANE” si è visto resettare il telefono dopo qualche minuto e rubare 3000 euro dal conto, devo ammettere che la vicenda mi ha suscitato non poche perplessità, pur essendo in questo mondo come professionista da un po’ non pensavo fosse possibile qualcosa del genere, ho sempre creduto ci fosse bisogno di installare il malware affinché questo funzioni quindi ora chiedo a voi:
È effettivamente possibile una cosa del genere? Cosa avreste fatto al posto suo e cosa potrebbe fare lui adesso? Mi piacerebbe parlarne grazie

 

[ZeusOn3]

Ma sei sicuro non sia una bufala? Adesso un link avviato in un browser, addirritura ha poteri admin in grado di gestire un telefono ?

 

[ElectricDreamer]

E' certamente possibile installare un malware solo aprendo un link (anche nessuno in realtà), ma l'attaccante dovrebbe conoscere e sfruttare una vulnerabilità nel browser del telefono per poter fare un reset o rubare i dati salvati su di esso. Tenendo conto che questo tipo di exploit è abbastanza raro, sopratutto se si considerano browser come Chrome e Firefox, potrebbe essere andata così se il tuo amico fosse un "bersaglio" di valore per qualcuno. In ogni caso avrebbe dovuto contattare immediatamente la banca per bloccare il trasferimento di soldi, a distanza di qualche giorno non penso sia più possibile

 

[ZeusOn3]

A me mi sa' troppo di leggenda metropolitana... magari sarà entrato dentro a qualche fake login come hanno detto nell'altra discussione simile.

 

[JunkCoder]

Confermo, anche avesse usato qualcosa di particolarmente bacato come il Samsung Browser ed avessero effettivamente un exploit non succede dopo 2 minuti in automatico un bonifico e un wipe. In pratica al tuo amico piace spararle grosse a meno che non fosse già infetto da prima e il link non c'entrava proprio niente.

 

[ZeusOn3]

Confermo, anche avesse usato qualcosa di particolarmente bacato come il Samsung Browser ed avessero effettivamente un exploit non succede dopo 2 minuti in automatico un bonifico e un wipe. In pratica al tuo amico piace spararle grosse a meno che non fosse già infetto da prima e il link non c'entrava proprio niente.

Secondo me è vero che gli hanno rubato con il fake login, però ha esagerato la questione per cercare di trovare una soluzione seria.. ma mi dispiace non c'è soluzione adesso.

Stai piu attento la prossima volta in che siti entri (Perchè tante volte sono "pubblicità" un po' strane)

Stai attento a che mail leggi... e soprattutto verifica sempre la fonte.. deve essere originale...

 

[Cryptonic]

cliccato su un link di scam inviatogli da un contatto chiamato “POSTE ITALIANE”

Dico solo una cosa...
Veramente nel 2022 ci facciamo ancora fregare da SMS e/o EMAIL fasulle ? Persino Poste Italiane manda comunicazioni una volta alla settimana per evitare queste situazioni. Di al tuo amico di svegliarsi

 

[Netcat]

Sono d'accordo con Cryptonic sinceramente, è giusto che questi boomer imparino a usare internet. E non approvo che Poste Italiane per proteggerli metta tediosi metodi di sicurezza, come inserire più codici a doppia autenticazione che qualche volta si buggano e manco arrivano.

Messaggio unito automaticamente: 7 Febbraio 2022

Che poi questo come si è ridotto così cliccando solo su un link? Che c'ha Android 4 coi root sbloccati? Mah

 

[Cryptonic]

cliccando solo su un link? Che c'ha Android 4 coi root sbloccati?

Appunto ! Riassumendo:

1. Mi arriva un SMS da POSTE ITALIANE contenente un link scam.
2. Leggo l' sms, entro nel loro link 'scam' e inserisco i dati del conto posta.
3. Poco dopo mi spariscono i soldi e mi viene resettato il smartphone.

What the fuck ? La formattazione mi sembra eccessiva, come mi sembra eccessivo il dover cliccare a cactus di camen senza prima informarsi e/o contattare l'assistenza Ma secondo me avranno dirottato il call routing kekw.

ORA SONO SERIO​

Un virus che lavora in stile Mr.Robot esiste e si chiama Brata, ma per come ha descritto la vicenda ti posso assicurare che non è stato questo il caso.

Spoiler

Il tutto parte da un messaggio di phishing che millanta di arrivare dalla propria banca. Contenente un link che, se cliccato, porta a un sito malevolo che avvia l’installazione di un’applicazione chiamata Antispam, Sicurezza dispositivo o Sicurezza avanzata. Dopo aver accettato le richieste di installazione da origini sconosciute, ci si ritrova su una pagina web, dove l’utente dovrebbe inserire i codici personali dei propri conti bancari. A quel punto, il virus registra tutto e comincia a sottrarre le riserve economiche. E non solo: dopo aver eseguito il lavoro di svuotamento delle finanze, Brata forza un reset del telefonino, che si ritrova completamente azzerato, con un’ulteriore beffa per gli utenti.

RECUPERO CREDITI​

In soccorso dell’utente viene anzitutto il D. Lgs. n. 11/2010, attuativo della Direttiva Europea 2007/64/CE sui servizi di pagamento del mercato interno.

Spoiler

Tale decreto, in particolare, all’art. 10 dispone che, se il correntista nega tempestivamente di aver autorizzato un’operazione di pagamento, “è onere del prestatore di servizi di pagamento provare che l’operazione di pagamento è stata autenticata correttamente, e l’utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata dall’utilizzatore medesimo”.

In altri termini, chi si accorga di essere stato vittima di truffa informatica e proceda immediatamente a segnarla, avrà diritto al rimborso immediato della somma illecitamente sottratta, mentre spetterà all’Istituto bancario o postale, provare che l’operazione di pagamento sia stata regolarmente autorizzata.

 

[ZeusOn3]

Magari avrai scaricato qualche applicazione fuffa che resetta a tempo debito magari nascosta con l'immagine delle "impostazioni" installata in automatico con qualche gioco o qualche applicazione, e poi nell'frattempo dopo ti hanno mandato il messaggio... perchè credimi che dal link al formattarti il telefono ce ne vuole...

Comunque buono che ti rimborsano tutto, mi sembra pure strano, però se è così , bene hai trovato la "Soluzione".

 

[rootentag]

Salve ragazzi, scrivo qui per raccontare l’esperienza di un amico che dopo aver cliccato su un link di scam inviatogli da un contatto chiamato “POSTE ITALIANE” si è visto resettare il telefono dopo qualche minuto e rubare 3000 euro dal conto, devo ammettere che la vicenda mi ha suscitato non poche perplessità, pur essendo in questo mondo come professionista da un po’ non pensavo fosse possibile qualcosa del genere, ho sempre creduto ci fosse bisogno di installare il malware affinché questo funzioni quindi ora chiedo a voi:
È effettivamente possibile una cosa del genere? Cosa avreste fatto al posto suo e cosa potrebbe fare lui adesso? Mi piacerebbe parlarne grazie

Non sono sicuro per quanto riguarda il reset del telefono, ma ti posso dire che attraverso una pagina di phishing realistica ed un OTP bot è possibile non solo accedere ad un account, ma anche svolgere in tempo reale tutte le azioni che normalmente richiedono un codice di conferma attraverso l'autenticazione a due fattori. Questo però richiede che la vittima si fidi dell'applicazione o del sito che sta utilizzando, e che quindi le OTP vengano inviate prima della scadenza.

 

[Netcat]

Però ora che ci rifletto meglio, dato che il furto ammonta a 3.000€ è possibile che la persona in questione sia un personaggio importante, con qualche lavoro di rilievo.. Potrebbe trattarsi del Pegasus RAT. Questo trojan si diffonde tramite link malevoli. Le persone ricche e con cariche lavorative di rilievo vengono prese di mira da questo trojan. Il comportamento di Pegasus è simile a quello di Meterpreter, entrambi dei payload che eseguono comandi dall'attaccante e spiano le attività sul dispositivo infetto. Ciò che li distingue è che il Pegasus è fabbricato per colpire nello specifico i telefoni cellulari Android e iPhone, bypassando il root access (l'equivalente dell'UAC di Windows) per ottenere i privilegi alti, e su iPhone ignora il jailbreak. È stato definito il capolavoro dell'ingegneria informatica, e per le sue capacità è classificato come un'arma a tutti gli effetti. L'unica bufala che circola in rete su questo trojan è che si diffonde tramite chiamata, è troppo surreale. È potente, ma si diffonde solo tramite link. Alcuni servizi scam sulla darknet blaterano di vendere un accesso limitato alla dashboard del RAT per 500€, ma in realtà il payload è posseduto esclusivamente dai terroristi o dall'esercito.

 

[ZeusOn3]

Quei rat del genere registrano quello che vogliono, schermate di blocco o opzioni di localizzazione , comunque facilmente reperibili nel web, per ciò bisogna stare attenti, magari hanno innestato il rat/key dentro un immagine e hai solo visualizzato un immagine, nel passato era così che se ne uscivano "Ghost"

 

[JunkCoder]

Però ora che ci rifletto meglio, dato che il furto ammonta a 3.000€ è possibile che la persona in questione sia un personaggio importante, con qualche lavoro di rilievo.. Potrebbe trattarsi del Pegasus RAT. Questo trojan si diffonde tramite link malevoli. Le persone ricche e con cariche lavorative di rilievo vengono prese di mira da questo trojan. Il comportamento di Pegasus è simile a quello di Meterpreter, entrambi dei payload che eseguono comandi dall'attaccante e spiano le attività sul dispositivo infetto. Ciò che li distingue è che il Pegasus è fabbricato per colpire nello specifico i telefoni cellulari Android e iPhone, bypassando il root access (l'equivalente dell'UAC di Windows) per ottenere i privilegi alti, e su iPhone ignora il jailbreak. È stato definito il capolavoro dell'ingegneria informatica, e per le sue capacità è classificato come un'arma a tutti gli effetti. L'unica bufala che circola in rete su questo trojan è che si diffonde tramite chiamata, è troppo surreale. È potente, ma si diffonde solo tramite link. Alcuni servizi scam sulla darknet blaterano di vendere un accesso limitato alla dashboard del RAT per 500€, ma in realtà il payload è posseduto esclusivamente dai terroristi o dall'esercito.

Il vero Pegasus non gira nella darknet e non è acquistabile da privati cittadini, quelli sono soltanto cloni. Può fare ben più di entrare tramite un link, può entrare con zero day come un messaggio invisibile su iMessage (abilitato di default su tutti gli iPhone) e contare su altri attacchi di questo tipo che richiedono zero interazione dell'utente. La sua potenza risiede appunto nei vettori d'attacco e di exploitation (che NSO acquista di continuo a fior di milioni), mentre a livello di funzionalità è abbastanza simile ad altri software sul mercato. Comunque chi usa questo software non ha certo come obbiettivo fregarsi qualche migliaio di euro, visto che anche solo per averlo deve averne sborsati mille volte di più, per la maggiorparte sono target politici e attivisti scomodi.

 

[--- Ra ---]

Il vero Pegasus non gira nella darknet e non è acquistabile da privati cittadini, quelli sono soltanto cloni. Può fare ben più di entrare tramite un link, può entrare con zero day come un messaggio invisibile su iMessage (abilitato di default su tutti gli iPhone) e contare su altri attacchi di questo tipo che richiedono zero interazione dell'utente. La sua potenza risiede appunto nei vettori d'attacco e di exploitation (che NSO acquista di continuo a fior di milioni), mentre a livello di funzionalità è abbastanza simile ad altri software sul mercato. Comunque chi usa questo software non ha certo come obbiettivo fregarsi qualche migliaio di euro, visto che anche solo per averlo deve averne sborsati mille volte di più, per la maggiorparte sono target politici e attivisti scomodi.

@JunkCoder , concordo con te, è del tutto improbabile che un malware così costoso venga adoperato per un furto da 3000 euro...

 

[ZeusOn3]

@JunkCoder , concordo con te, è del tutto improbabile che un malware così costoso venga adoperato per un furto da 3000 euro...

Diciamo che anche i cloni reperibili in rete nelle mani sbagliate possono fare male lo stesso.. magari non esattamente questo Pegasus .

 

[Hackth3w0rld]

Dico solo una cosa...
Veramente nel 2022 ci facciamo ancora fregare da SMS e/o EMAIL fasulle ? Persino Poste Italiane manda comunicazioni una volta alla settimana per evitare queste situazioni. Di al tuo amico di svegliarsi

Buonasera, intanto ho visto con i miei occhi una mail inviata da poste italiane (nello specifico POSTEL, una società che ignoravo l'esistenza collegata a Poste,lo so, potevo cercare su google...), con un link lunghissimo che iniziava con ciscowebx ecc ecc ecc che nonostante la mia esperienza decennale di email di spam ricevute sembrava davvero di spam e invece era legittima... ora dico io, poste deve inviare la fattura del pagamento per la creazione dello spid e la invia in questo modo barbaro?? E' normale che un 60enne poco avvezzo la prossima volta ci clicca sul link anche se non è davvero delle poste...

 

[Netcat]

Il vero Pegasus non gira nella darknet e non è acquistabile da privati cittadini, quelli sono soltanto cloni. Può fare ben più di entrare tramite un link, può entrare con zero day come un messaggio invisibile su iMessage (abilitato di default su tutti gli iPhone) e contare su altri attacchi di questo tipo che richiedono zero interazione dell'utente. La sua potenza risiede appunto nei vettori d'attacco e di exploitation (che NSO acquista di continuo a fior di milioni), mentre a livello di funzionalità è abbastanza simile ad altri software sul mercato. Comunque chi usa questo software non ha certo come obbiettivo fregarsi qualche migliaio di euro, visto che anche solo per averlo deve averne sborsati mille volte di più, per la maggiorparte sono target politici e attivisti scomodi.

Io sapevo sfruttasse vuln 0day ma entrare pure con messaggi invisibili...? Come è possibile bindare shellcode in un messaggio vuoto di pochi byte?

Diciamo che anche i cloni reperibili in rete nelle mani sbagliate possono fare male lo stesso.. magari non esattamente questo Pegasus .

Non esiste nessun clone... Ridete quanto vi pare di me, ditemi che sono boomer, ma io sulla darknet sono stato solo vittima di scam
La prima scammata con quelli che dicevano di hackerare facebook
La seconda scammata era una zip bomb che si spacciava per un full course di malware development in C. (che per fortuna ho aperto su VirtualBox altrimenti mi rompeva il computer)

 

[0xbro]

Io sapevo sfruttasse vuln 0day ma entrare pure con messaggi invisibili...? Come è possibile bindare shellcode in un messaggio vuoto di pochi byte?

Sono 0day, sarebbe bello saperlo ahaha Io in passato ho visto un talk in cui veniva esposto un 0-click RCE su Zoom (o forse Webex, insomma, la tipologia di software era quella), dove l'unico elemento richiesto era fare una chiamata alla vittima. Non mi meraviglio quindi di immaginare che ci possano essere 0day in cui l'unico requisito è avere il cell della vittima e che si possano triggerare tramite SMS o chiamata

 

[ZeusOn3]

Io sapevo sfruttasse vuln 0day ma entrare pure con messaggi invisibili...? Come è possibile bindare shellcode in un messaggio vuoto di pochi byte?


Non esiste nessun clone... Ridete quanto vi pare di me, ditemi che sono boomer, ma io sulla darknet sono stato solo vittima di scam
La prima scammata con quelli che dicevano di hackerare facebook
La seconda scammata era una zip bomb che si spacciava per un full course di malware development in C. (che per fortuna ho aperto su VirtualBox altrimenti mi rompeva il computer)

punto primo li ho chiamati cloni per sbaglio rispondendo all'utente sopra di me, per 2* è ovvio che sulla darknet ti scammano se non conosci o non sei legato particolarmente a certi sitiweb noti, come fai a pretendere che la gente ti venda o ti linka un RAT "comune" senza scammarti, oppure sei stato semplicemente nei posti sbagliati..


Cioè è lampante che hai più successo se cerchi in un forum inglese in Clear di hacking certe cose, solo gli americani sono veramente pr0 per certe cos3, la darknet eccetto qualche raro posto, mi è sempre sembrata un circo pieno di pagliacci mascherati.

 

[ElectricDreamer]

Sì, i malware come Pegasus possono essere installati conoscendo esclusivamente il numero di cellulare della vittima, e senza che essa interagisca con il messaggio inviato. Se volete approfondire qui c'è il report di Amnesty International sui metodi utilizzati da NSO, tra cui anche l'exploit di Apple Music ed Apple Photos. Ma chiaramente non è il caso di @Bynary01