Und schon gibts die ersten Mails die das URL-Leck nützen

[zyta2k]

Heute in meiner Mailbox gelandet:


Dear Customer,
Our latest security system will help you to avoid possible fraud actions and
keep your investments in safety.
Due to technical security update you have to reactivate your account
Click on the link below to login to your updated Visa account.
To log into your account, please visit the Visa Website at
http://www.visa.com
We respect your time and business.


Der Link zu http://www.visa.com sieht in etwa so aus:
http://www.visa.com%20%20@64.21.80.2/~g ... y_visa.htm

Schaut man sich verified_by_visa.htm an so sieht man folgendes:

Code: Alles auswählen

<meta http-equiv='refresh' content='0; url=http://www.usa.visa.com/personal/privacy_policy/?it=ft_/personal/secure_with_visa/index.html'>
...
 window.open("http://64.21.80.2/~gotier/r.php", 'Visa', "resizable=no,scrollbars=no,width=425,height=198");

Will heissen, dass im Hintergrund die richtige Visa Page geladen wird und ein Popup (http://64.21.80.2/~gotier/r.php) erscheint.

Please, enter your data info!
Credit Card No.
CVV2
PIN-ATM CODE:
Expiration Date: month

welches nach in r.php landet (als post.data) ich denke das wandert dann fein säuberlich in eine MySQL Datenbank.

Tja.
Was soll man da sagen:

Und der vermeintlich schuldige:

Registrant Contact:
dns-nac-zone.com
Robbie Walker (admin@dns-nac-zone.com)
N/A
Fax: N/A
P.O Box 3439
Toowoomba, QLD 4350
AU


Ist der gut versichert ??
Traurig, dass sicherlich einige drauf rein fallen werden