Este o tombolă – ţapă, pentru că nu este organizată de Raiffeisen. Câştigători sunt toţi cei care s-au înscris la ea, premiile constând în devalizări ale contului, cheltuieli inexplicabile şi alte cele ce falimentează,

Mesajul este:

Fericitul castigator al tombolei din 1 iunie 2009 organizata de Raiffeisen BANK,a intrat in posesia premiului de 50000 EUR pe data de 20 Iunie.
A mai ramas un autoturism Porsche Cayman S si inca o suma de 50000 EUR pentru urmatoarea tombola care va avea loc pe data de 30 iulie.

Datele castigatorilor sunt confidentiale si vor fi anuntati telefonic pe data de 30 iulie 2009.

Pentru a va inscrie descarcati in calculatorul dumneavoastra si completati formularul de inscriere atasat la acest email.

Va multumim

Acest mesaj conţine un ataşament cu denumirea de Fisier de inscriere tombola Raiffeisen.pdf.html. În primul rând rog a se observa extensia dublă (.pdf.html) ceea ce denotă clar activităţi necurate. Într-adevăr, fişierul nu ste unul de tip .pdf (pentru Acrobat reader) ci este un simplu fişier .html (pagină web), cu următorul conţinut (am tăiat mult din el fiindcă este prea mare):

<Script Language=’Javascript’>
document.write(unescape(‘%3C%68%74%6D%6C%20%78%6D%6C%6E%73%3A%76 …

%3C%62%72%3E%3C%62%72%3E%3C%2F%73%70%61%6E%3E’));
//–>
</Script>

Ceea ce vdeţi este un script de tip javaScript care generează ceea ce se va afişa pe ecran. Forumlarul arată aşa:

Se observă că am evidenţiat trei zone, pentru că acest atac este mai complex decât altele. El vizează numărul de telefon al credulilor (1), astfel încât să le facă o ţepoasă reducere a abonamentului sau alte oferte. Apoi vizează datele de Internet Banking (2), ca să se lăfăie liniştiţi în cont. Şi-apoi vizează numărul de card (3). Ca să poată să cumpere orice folosind banii victimelor.

Evident, toată râma aceea de sus am tradus-o să văd şi eu despre ce este vorba. Ca să nu o lălăi vă pot spune că toată ţeapa se face printr-un server din Singapore. iată:

<link href=’http://203.92.71.243:8080/files/Portal00.ico’ rel="shortcut icon">
<link href=’http://203.92.71.243:8080/files/LWP_Styl.css’ rel="styleSheet" type="text/css">
<link href=’http://203.92.71.243:8080/files/Styles00.css’ rel="styleSheet" type="text/css">
<link href=’http://203.92.71.243:8080/files/HelpStyl.css’ rel="styleSheet" type="text/css">

Legătura dintre Singapore (IP: 203.92.71.243) şi Raiuffeisen este total necunoscută, fiind sublimă prin lipsa ei cu desăvârşire. Faptul că serverul de atac rulează XAMPP pe portul 8080 îmi spune că treaba este extrem de murdară şi sunt complici în zona aceea.

În fine, să nu o muşcaţi. A mai scris şi Zoso despre asta.