Posljednjih dana kruži e-mail poruka koja obaviještava čitatelja da je porezna uprava utvrdila da će čitatelju poruke isplatiti 857,88 kuna te se od čitatelja traži da otvori priloženi dokument “Povrat Obrazac.htm” koji je potrebno ispuniti. Kao pošiljatelj se navodi “Porezna upravat ([email protected])”. Sama e-mail poruka je slijedećeg sadržaja:

—————————————————————————————————————-

MINISTARSTVO FINANCIJA – Porezna uprava

23/12/2011

Dragi poreznog obveznika,

Nakon posljednjeg godišnji obracun svog fiskalne aktivnosti smo utvrdili da ste podobni za primanje povrat poreza od 857.88 HRK.

Molimo podnesite zahtjev za povrat poreza i dopustiti nam 6–9 dana kako bi se proces.

Da biste pristupili povrat poreza, slijedite korake u nastavku:

….- Preuzimanje Povrat obrazac u prilogu ovog email
….- Ga otvorite u pregledniku
….- Slijedite upute na zaslonu

Povrat može biti odgoden za niz razloga. Na primjer podnošenja nevažecih zapisa ili primjenom nakon isteka roka.

—————————————————————————————————————-

Naravno, već na prvi pogled poruka je sumnjiva kako je korišten porpuno netočan hrvatski jezik, tj. korišten je Google Translate kako bi se poruka prilagodila napadima na državljane Republike Hrvatske.

Pokretanjem “Povrat Obrazac.htm” dokumenta otvara se korisnikov Internet preglednik sa stranicom koja je vješto lažirana kopija stranica Porezne Uprave Republike Hrvatske.

Iako izgledom identična stranicama Porezne uprave Republike Hrvatske, nekoliko stvari odaje da je dokument iz priloga e-mail poruke lažirana kopija. Iako linkovi na vrhu stranice rade tj. potpuno su funkcionalni, linkovi u lijevom stupcu uopće ne funkcioniraju. Također, ponavlja se vrlo loš Hrvatski jezik. I naravno, informatički pismenije osobe trenutno će uočiti prijevaru kako Porezna uprava od korisnika nikada ne bi tražila broj kreditne kartice i datum isteka a pogotovo PIN broj kartice.

Analizom izvornog koda otkriva se stvarna namjera dokumenta “Povrat Obrazac.htm”. Sve unesene informacije prenose se prema adresi http://95.224.187.115/w/w.php POST metodom  (ne otvarajte navedeni link! Link potencijalno prikuplja informacije o posjetiteljima!) . Naravno, IP adresa ne pripada Poreznoj upravi (IP adresa na kojoj se nalaze stranice porezne uprave je 195.234.22.111) već pripada telekom operateru Telecom Italia. IP adresa pokazuje na DNS zapis host115-187-static.224-95-b.business.telecomitalia.it što otkriva zakupljenu statičnu IP adresu. Lokacijski, navedena IP adresa nalazi se u gradu Lecco, sjeverno od Milana u Italiji. IP adresa je aktivna od 08.12.2011. godine te još uvijek nije označena kao nesigurna u DNS zapisima. U trenu pisanja ovog teksta, IP adresa je bila još uvijek aktivna te su otvoreni portovi 80 TCP (www), port 21 TCP (FTP), port 3389 TCP (Microsoft Remote Desktop), port 53 UDP (DNS) i port 67 UDP (DHCPS). Prema navedenim portovima može se zaključiti da je poslužitelj pripremljen i za man-in-the-middle fakse DNS napade!

IP adresu i samo poruku prijaviti ću nacionalnom CERT-u i Telekom Italia operateru. IP adresu ću prijaviti na DNS black listu.

Sama email poruka je poslana putem adrese ftp.trad.logos.it (IP adresa: 193.41.7.210) koja je registrirana na ime Pietro Campanini, Fondazione Logos, Via Curtatona 5/2, Modena, 41126, MO, IT i nalazi se u gradu Modena u Italiji. Poruka se zatim prosljeđuje putem cp.devkp.ru adrese (IP adresa: 78.47.57.188) koja je anonimno registrirana kod spaceweb.ru providera a poslužitelj se nalazi u Berlinu u Njemačkoj. Obe IP adrese su označene kao sumnjive te da potencijalno prosljeđuju SPAM poruke i malware sadržaj.

Ukoliko ste primili poruke sličnog sadržaja molim Vas da mi proslijedite poruke i privitke kako bih ih mogao analizirati te pomoći u sprječavanju daljnjih zlonamjernih radnji. U slijedećim danima ću uspostavit email adresu na koju ćete mi moći proslijediti naveden poruke te mjesto za pohranu datoteka.

I da, od danas pišem i na hrvatskom i na engleskom jeziku :) Prvo ću objavljivati postove na hrvatskom a kroz par dana će isti post izaći i na engleskom jeziku.