Když to spamerovi nefunguje

Občas spamerovi jeho systém nefunguje a místo spamu přijde šablona. Je na ní pěkně vidět, jak se takový spam tvoří. Kam se dosadí smysluplný text a naopak kam něco náhodného, co má zmást spamové filtry.
A také to možná naznačuje národnost autora.

Datum vlastní smrti (za 99Kč)

Stránka dyingtest.com vypadá jako neškodný test pro pobavení: Vyplňte dotazník a server na základě toho spočítá pravděpodobnou délku vašeho života. A možná připíše nějakou tu radu na jeho prodloužení. Otázkám na pozadí přihlíží důvěryhodná vážná lékařka v bílém plášti, takže vše je jistě v pořádku....

Co se ale objeví na konci testu? Odešlete SMS na telefonní číslo - a už podvědomě hledám drobné písmo na spodku stránky a tam to je - Cena odeslané sms je 99 Kč s DPH. Takže další ze stránek, které využívají lidskou hloupost....

Mimochodem - inzerují přes Seznam.cz.

Bereme každé vaše heslo!

Není na závadu, když občas spamovým filtrem projde nějaká nevyžádaná pošta. Člověk aspoň vidí, co teď "frčí".

Pěkný příklad sociálního inženýrství aneb jak vytáhnout podvodem z lidí přístupové údaje k jejich e-mailům:

1. Přijde nevyžádaný e-mail
2. V mailu je odkaz na dokument na Google docs a nějaký důvod, proč byste se na ten dokument měli podívat (katalog produktů naší firmy, zaručený recept na zhubnutí, nové pornofotky...)
3. Pokud na odkaz kliknete (ne, nevede na stránky Googlu, ale někam jinam, ale kdo si toho všimne, že), objeví se stránka s logem Googlu a s nápisem, že pro přístup k dokumentu se musíte přihlásit
4. Nejlépe svým heslem k Gmailu, ale není to podmínka - stačí heslo k Yahoo mailu, Windows live, AOL nebo od libovolného jiného e-mailového účtu - klidně i od Seznamu nebo firemního. Nepohrdnou žádným.

Nalítne na to někdo? Asi ano :(

Našli jsme 25 milionů a nevíme, co s nimi

Tenhle kousek spamu stojí za to si přečíst, rozhodně pobaví. Autoři ho pro jistotu doplnili názorným obrázkem. Chtěl bych vidět člověka, co jim na to skočí....

Z jiného úhlu pohledu

Uvědomujete si, že reklamy, které vídáte na www stránkách, jsou vám ušité přesně na míru? Tomu, jakým jazykem mluvíte, kde žijete, o co se zajímáte? Že je to nesmysl, že se přeci Internetem pohybujete anonymně a nikdo nemůže vědět, kdo jste? Tak to je omyl. Minimum, co reklamní systém (dnes většinou Googlu) o vás ví a co pozná z počítače či z vašeho brouzdání po síti bez toho, abyste mu sdělovali osobní údaje:

• jakým jazykem mluvíte (podle nastavení počítače)
• kde právě jste s rozlišením země/město (podle IP adresy)
• o co se zajímáte (podle tématu stránek, které si prohlížíte, podle dotazů, které píšete do vyhledávače)

Zkuste pár experimentů. Smažte napřed všechny cookies (alias - zameťte stopy) a pak:

• vycestujte se svým počítačem do zahraničí - rázem se začnou objevovat reklamy na obchody v okolí a v místním jazyce (i když Google bude stále tušit, že jste to vy a zobrazí nenápadnou otázku "nejste zrovna náhodou v zemi XY?")
• nechte na svém počítači chvíli pracovat někoho jiného, nejlépe opačného pohlaví a nejlépe, když se bude snažit najít informace o konkrétním výrobku a nakonec si ho přes Internet koupí - skladba reklam na stránkách se pak dramaticky změní a vydrží to tak asi dva týdny

iPhone replika

 Tento spam mě dostal - replika iPhonu, dodání kdekoliv v Afghanistánu, platba hotově při převzetí. Opravdu cílená reklama. Na druhou stranu - zcela jasně říká, že nejde o pravý iPhone, ale je to napodobenina, včetně podrobného výčtu technických parametrů. Takže vlastně seriozní nabídka.

 

Sváteční phishing

Během svátků mi přišly dva výraznější phishingové maily. První se tváří jako od Applu a vyžaduje ověření Apple ID. Odkaz pochopitelně nevede na store.apple.com, ale na jinou, podvodnou stránku. Podezřelý byl už na první pohled:

Druhý se tváří jako upozornění od Mozilly na novou verzi www prohlížeče. Všechny odkazy z mailu opět vedou na podvodnou stránku. Nicméně v první chvíli mi nedošlo, že jde o podvod, ale vzal jsem to opravdu jako upozornění na novou verzi a aktualizoval jsem si Firefox. Ovšem standardním mechanismem Firefoxu, ne přes odkaz v mailu. Teprve za pár dní mi to začalo vrtat hlavou a mail, který jsem naštěstí nesmazal, jsem pořádně prozkoumal.

Opravdu "nevtíravá" reklama firmy IGNUM

"IGNUM - doména xyz.cz byla zaregistrována jedním z našich zákazníků a zatím nebyla uvedena do provozu."

Už jste tento nápis viděli? A kolikrát? Několikrát denně jako já? Tak máte smůlu, protože jste připojeni k Internetu přes providera, který má zřejmě s firmou Ignum smlouvu a podstrkává "nenápadně" její reklamu svým zákazníkům.

Jak to funguje:

• kliknete na odkaz na www stránce
• v odkazu je uvedené doménové jméno www serveru, na kterém stránka je
• váš počítač pošle dotaz DNS serveru 
• v dotazu uvede doménové jméno a požádá o IP adresu serveru

Někdy se stane, že DNS server IP adresu nenajde. Nejčastěji proto, protože v doménovém jméně je překlep. Třeba "seznam.cy" místo "seznam.cz". V tom případě by měl odpovědět "IP adresa neexistuje" a www prohlížeč by to měl uživateli sdělit.

Ovšem - proč toho nevyužít pro reklamu? Co kdyby DNS server jednoduše vrátil IP adresu serveru firmy IGNUM, která se živí registrací domén a webhostingem. Uživatel se tak dostane na její stránky a co kdyby ho napadlo, že by si doménu, která ještě neexistuje, u firmy Ignum zaregistroval? Stačí, když o to firma Ignum požádá provozovatele DNS serveru, což bývá váš poskytovatel připojení k Internetu. 

Někdo by řekl: O co jde, stejně by se objevila stránka s chybovým hlášením, tak se u něj objeví ještě reklama navíc.

Jenže ta stránka se neobjevuje jen u domén, které neexistují. Objeví se i v případě, že DNS server má nějaké vlastní problémy, kvůli kterým není schopen IP adresu zjistit. A vy pak vidíte perly typu "Doména apple.com/google.com/facebook.com byla zaregistrována jedním z našich zákazníků." Ta firma Ignum je dobrá, že? Jaké má úžasné zákazníky.

Dnes se mi dokonce stránka firmy Ignum objevila v iTunes místo AppStoru....

Ano, leze mi to na nervy už dlouho. Napsal jsem jak svému providerovi, tak helpdesku firmy Ignum. Odpovědi - od providera žádná, od Ignum dopis ve smyslu "to co popisujete není náš problém, nastavte si dobře IP adresu DNS serveru".... Tak si aspoň o tom napíšu na blogu....

iPhone jako návnada

Možná jste tenhle reklamní banner také někde zahlédli. Na první pohled jasná snaha nalákat člověka někam, kam by sám od sebe nevlezl ani náhodou. Co mě zaujalo (kromě toho, že se tak nápadné blahopřání v češtině objevilo v anglickém textu na zahraniční stránce) je nenápadné "237 Kč za týden" ve spodní části rámečku. Začal jsem se zajímat o co jde a klik na to.


Po kliknutí se objeví animovaná stránka, na které můžete zkusit své štěstí a odpovědět na několik opravdu velmi jednoduchých otázek, po jejichž zodpovězení vás stránka vyzve, abyste zadali číslo svého mobilního telefonu.

Proč? Aby bylo možné oznámit jednomu šťastlivci, že vyhrál iPhone? Kdepak. V téhle chvíli se vyplatí si přečíst co je napsané drobným písmem na spodním okraji stránky. Zadáním svého čísla se zavazujete platit za jisté poskytované služby a to částkou 237 korun týdně, která se bude strhávat z vašeho telefonního účtu. A to tak dlouho, dokud to nezrušíte.
Ať jsem se snažil jak jsem chtěl, nepřišel jsem na to, jaké služby je možné si tímto způsobem předplatit a používat.

Podle mě je tohle jasný podfuk - bohužel v mezích zákona. Provozovatel na stránce uvádí (sice drobným písmem, ale přesto) zcela jasně, že budete platit, kolik, jak a jak se z toho můžete vyvázat. Současně ale používá řadu triků k tomu, aby oběti nalákal a vmanipuloval je do situace, kdy číslo svého mobilu naťukají bez velkého přemýšlení a čtení drobností okolo. Nelíbí se mi to.

Apple zakázal GPS jen pro reklamu

Ve starších příspěvcích na tomto blogu jsem upozorňoval na iPhone aplikace, které nemají s GPS nic společného, ale přesto se z GPS modulu iPhonu snaží získat informace o aktuální pozici.
Šlo především o podivné chování hry TapDefense a programu Young Painter. U obou aplikací jsem pak detekoval to, že po přečtení GPS souřadnic odešlou nějaká data na server firmy, která se zabývá distribucí reklamy. Osobně bych to klasifikoval jako utajené sbírání osobních údajů.

Proto mě potěšilo, že Apple 3. února 2010 napsal vývojářům, že aplikace, které budou využívat funkci zjišťování aktuální pozice bez rozumného důvodu (ve vztahu k funkci aplikace), do AppleStore nepustí.
Konkrétně "If your app uses location-based information primarily to enable mobile advertisers to deliver targeted ads based on a user's location, your app will be returned to you by the App Store Review Team for modification before it can be posted to the App Store."

Osobně si myslím, že primárním účelem tohoto pravidla není blokovat utajený sběr osobních údajů, ale dělat aplikace více "user friendly" - neboli aby uživatel nebyl zbytečně obtěžován a hlavně zmaten dotazem, jestli aplikace smí nebo nesmí použít lokalizační funce. Ale i přesto to považuji za dobrou věc.

Zdroj: mujmac.cz

Safari - ochrana před nebezpečnými stránkami

Prohlížeč Safari má od verze 3.2 zabudovanou ochranu před nebezpečnými www stránkami. Nebezpečnými tím, že obsahují něco, co se pokouší přes www prohlížeč dostat do našich počítačů a škodit - třeba tím, že do počítače nasadí trojského koně na rozesílání spamu nebo že se pokouší z počítače vydolovat citlivá data typu hesla, čísla platebních karet apod.
Nedávno jsem právě na jednu takovou stránku narazil a Safari zareagovalo následovně:
Místo stránky ukázalo varovný nepřehlédnutelný nápis:

Varování je možné ignorovat a na stránku se podívat. Nebo kliknout na odkaz na Google a podívat se, před čím nás to vlastně varuje - v tomto případě před kódem pocházejícím z xtrarobotz.com:


Zajímalo mě, co vlastně je na té stránce nebezpečného a tak jsem se podíval na její zdrojový kód:


Je to jednoduchá stránka, která jen přesměruje návštěvníka www.prepo.cz na stránku www.teamprevent.cz. Ale pozor, úplně na konci je něco, co by tam být nemělo - tag IFRAME s odkazem na xtrarobotz.com a s vlastností "hidden" - neboli neviditelný. Tím se zřejmě do prohlížeče stáhne ten nebezpečný škodlivý kód.
Tahle řádka je navíc nesmyslně až za koncovým /html tagem - vypadá to, že byla k obsahu stránky připojena automaticky nějakým botem.
Dál jsem se bohužel nedostal, protože server xtrarobotz.com nefunguje - zřejmě někdo prosadil jeho odpojení od Internetu.

Jak Safari pozná, že na stránce je škodlivý kód? Samotné Safari stránky neprohlíží, ale využívá v tomhle služeb Googlu. Google takové stránky vyhledává, udržuje jejich databázi a tu Safari využívá.

Tato kontrola je v Safari defaultně zapnutá:


Dá se ovšem v nastavení vypnout - to kdybyste ji považovali za zbytečnou nebo jako správní paranoici měli podezření, že Google může přes tuto službu sledovat, které stránky si prohlížíte...

Důvod snížení počtu spamů

Na podzim jsem zaregistroval, že počet spamů, které za den přijdou na naše servery, prudce klesl. Ověřil jsem si to na všech poštovních serverech pod svou správou. Neměl jsem pro to vysvětlení, to jsem našel až teď na blogu googleenteprise.blogspot.com.

Takže co se tenkrát stalo?

Poměrně jednoduchá věc:

V listopadu 2008 byla odpojena od Internetu firma McColo Corp., která provozovala web hostingové služby. Podle bezpečnostních expertů byla tato firma odpovědná za 75% veškerého spamu v Internetu.

Skutečně právě v tu samou dobu jsem zaregistroval pokles počtu příchozích spamů na cca čtvrtinu.

Překvapivé na tom je, že jde o americkou firmu ze San Jose a ne o žádný ruský/čínský/nigerijský podnik.

Od té doby bohužel počet spamů opět pomalu narůstá, průměrně o 1% za den.

Zdroj: washingtonpost.com

Young Painter

Young Painter je docela pěkná aplikace pro iPhone - pro kreslení obrázků prstem po displeji, určená pro děti.
Existuje ve dvou verzích: placené a "free".
Free verze se od placené liší tím, že ukazuje v horní části disleje malý reklamní banner. A po poslední aktualizaci také tím, že si po spuštění vyžádá od iPhonu informace o GPS pozici.
Čili jde o další aplikaci, která si na sebe vydělává cílenou reklamou a sbírá údaje o zákazníkovi, aniž by ho o tom informovala...

Vlevo úvodní obrazovka s informacemi o aplikaci.
Uprostřed dotaz systému na to, jestli může aplikaci poskytnout údaje o poloze.
A vpravo www stránka, která se objeví po kliknutí na reklamní banner. Kromě jiného je na ní odkaz na stažení hry TowerDefense, která dělala to samé - získala údaje o GPS pozici hráče, ač k tomu neměla nejmenší důvod a odeslala je po Internetu...

Odkaz z iTunes na autora aplikace vede na http://game-era.com/, kde moc relevantních informací není....

Další informace:

• Spyware v iPhone - o podezřelém chování hry TapDefense
• Jaké údaje o nás sbírá TapJoy
• TapDefense už nechce GPS údaje
  

Jaké údaje o nás sbírá TapJoy?

Včera jsem zkoumal, proč hra TapDefense potřebuje znát údaje o místě, kde se zrovna nacházím a co s těmi údaji dělá.
Přišel jsem na to, že hra komunikuje po síti a to se serverem autora hry (firmy TapJoy) a pak se serverem firmy Pinch Media, která provozuje systém pro reklamu v iPhonech.
A vadilo mi, že v aplikaci ani v AppStore, ze kterého se dá hra stáhnout, není téhle činnosti ani zmínka.

Dogůglil jsem se o kousek dál:

Na jednom fóru jsem se doslechl o tom, že údaje z GPS iPhonu používá TapJoy k vytváření mapy světa s přehledem kolik lidí a kde zrovna jejich hru hraje.
Bohužel se mi nepodařilo tu mapu zatím najít :-(
Stránky firmy obsahují jen odkaz na fórum o hře na Facebooku a to existuje zřejmě teprve od 6. prosince 2008...

Dále existuje na webu firmy TapJoy Privacy Policy, ve které firma definuje, které osobní informace sbírá a jak s nimi nakládá.
Nejzajímavější je asi toto (volně přeloženo, originál viz http://tapjoy.com/privacy/):

"Když spustíte nebo pracujete s TapJoy aplikací, sbíráme tyto informace: typ vašeho zařízení a IP adresu. Dále používáme unikátní Devide ID (UUID), které má každý iPhone/iPod."

To by se mohlo vztahovat i na spuštění hry TapDefense a na její komunikaci po síti.
Nicméně o GPS souřadnicích v Privacy Policy není ani zmínka.

Spyware v iPhone

Spustili jste někdy na iPhonu aplikaci, která nemá nic společného s GPS navigací a ona se vás přitom zeptala, jestli může použít GPS modul? Vrtalo vám taky hlavou k čemu to chce? Tak tady o tom něco najdete:

Stáhnul jsem si hru TapDefense. Na to, že je zadarmo, je docela propracovaná, ale.... no, má jedno velké ALE. Při jejím spuštění se totiž iPhone zeptá, jestli jí může povolit přístup ke GPS modulu:


Vrtalo mi hlavou, k čemu to ta hra potřebuje, protože s navigací nemá vůbec nic společného. Napadlo mě podívat se, jestli náhodou hra něco neposílá na Internet.

Při spuštění hry se rozjede šifrované SSL spojení s IP adresou 64.209.142.124 alias 64-209-142-124.discountasp.net. To je adresa webhosting serveru, na kterém běží aplikace firmy TapJoy, která hru napsala.
Pak se objeví ten dotaz na svolení k použití GPS modulu.
Když nesouhlasíte, žádná další komunikace se nekoná.
Pokud souhlasíte, dojde ke komunikaci se serverem iphone-maps.apple.com a poté se něco přenese z adresy 63.246.8.198:80 alias 63-246-8-198.contegix.com. Na adrese sídlí aplikace firmy Pinch Media a už jsme doma.

Firma Pinch Media podle své stránky poskytuje služby vývojářům iPhone aplikací:

• analytické (kolik lidí si aplikaci stáhlo a jak ji používají)
• reklamní (zobrazování nevtíravé reklamy v jejich aplikacích).
  

Jinými slovy: aplikace (v tomto případě hra TapDefense) po svém spuštění odešle někam na Internet informaci o tom, že byla spuštěna, IP adresu iPhonu a vaši GPS pozici. Následovně si stáhne z Pinch Media reklamu, pravděpodobně cílenou na místo, kde se právě nacházíte a tu vám "nevtíravě" ukáže.

Chápu, že naprogramovat pěknou hru dá hodně práce a autoři chtějí i něco vydělat a zvolili si k tomu prodej reklamy.
Nelíbí se mi ale, že neřeknou lidem, že o nich sbírají informace. A už vůbec neřeknou, o jaké informace jde. Aplikace to při spuštění nenapíše, v helpu to není, v informacích o hře na AppStore také ne.
Nejsem v principu proti tomu, aby vývojáři za své úsilí dostali peníze zpátky z reklamy a já jako uživatel za to platil svými osobními údaji, ale vadí mi, že si nemůžu vybrat, jestli na to přistoupím nebo ne.

Setkali jste se už s nějakou aplikací, která chtěla použít údaj o vaší poloze a přitom neměla nic společného s navigací? Připište prosím info o ní do komentáře, díky.

Další podobné aplikace:

• Young Painter (free verze)
  

Rybníky Sterlings

Další spam do sbírky a to z kategorie falešných loterií.
Tenhle obsahuje pár perliček díky strojovému překladu do češtiny.

Chodí málo spamu

Statistiky spamových filtrů ukazují zajímavou věc: od středy 12. listopadu se snížil počet příchozích e-mailů zhruba na čtvrtinu. Jde o počet všech mailů, tedy včetně spamů. Počet normálních mailů (tedy těch, které filtrem projdou) přitom zůstal stejný.
Ověřeno na čtyřech serverech pro několik různých domén.

Co se to děje? Provozovatelé nějakého velkého botnetu si vzali dovolenou? Nebo je konečně někdo vystopoval a odprásknul?

Phishing na Google

Další phishing do sbírky, tentokrát na přihlašovací údaje do Google:


Mail se tváří jako "plain text", ale přitom je ve formátu HTML, aby to při kliknutí na odkaz mohlo člověka hodit jinam, než čeká.
Odkaz na přihlášení do Google je

http://adwords.google.com

ale skrývá se pod ním

http://adwords.google.com.session-3=
2787567577357018288.06331138686434057075.sys56.ru

což je docela zajímavé - vypadá poměrně věrohodně, až na to, že za google.com není lomítko, ale jen tečka a na konci ruská doména.

Phishing na vlastníky domén

Na phishing (pokusy o vylákání důvěrných informací jako jsou hesla apod.) jsem si už docela zvykl. Ty pokusy, které mi dorazí až do schránky, prostě ignoruji.

Na tomhle mailu mě zaujalo to, že nejde (jako obvykle) po mém bankovním kontu, ale po přístupu ke správě domén. Teoreticky by tak útočník mohl někomu ukradnout jeho doménu. Nebo ji zablokovat. Nebo si na jeho účet registrovat domény svoje a hostovat na nich podvodné stránky...
Prostě pro mě je to novinka, tak si to ukládám do sbírky.

V textu je uvedená adresa http://www.enom.com, ale když se na ni klikne, dostanete se na podvodnou stránku http://www.enom.com.ssl42.mobi.

Virus v mailu

Jak vypadá takový e-mailový virus:
Přijde e-mail s přílohou a s textem, který má příjemce přimět k tomu, aby přílohu otevřel.
Jak?
Podle textu obsahuje příloha detailní výpis z účtu. Co na tom, že jsem žádný výpis z účtu nežádal? Je to asi výpis účtu někoho jiného a přišel mi omylem, tak proč se nepodívat, ne?

Příloha je navíc docela neškodná, typu .ZIP. Takže poklikat a otevřít:

V ZIPu je jeden soubor, na první pohled se jménem "Statement_detail.doc", čili neškodný Wordový dokument. Až když si člověk okénko roztáhne víc do šířky, tak zjistí, že ".doc" jméno nekončí, ale je tam ještě hodně mezer a až na konci ještě ".exe". Čili ne dokument, ale spustitelný program. Kdo by si toho nevšimnul, tak by na soubor klepnul a program spustil.

Pokud by někdo napřed soubor ze ZIPu vybalil a dal třeba na plochu, tak by si .exe na konci dlouhého jména souboru také nevšiml. A program má navíc ikonu Wordového dokumentu - další trik.

Takhle vypadá vybalený program s virem na ploše (vpravo). Vlevo je pak pro srovnání skutečný wordový dokument. Prakticky stejné, že?

Pro toho, komu připadá zbytečné se tímhle zabývat, protože viry v mailu přece odchytí antivirový program: můj antivirus tenhle program zkontroloval a jako vir ho neoznačil, přestože je zaktualizovaný a mail přišel už před 12 hodinami.
Prostě mezi tím, kdy se nový virus objeví a mezi tím, kdy ho začnou antivirové programy rozpoznávat, je vždy nějaká doba. A během ní se může počítač nakazit - pokud vlastník počítače není aspoň trochu paranoidní...