SMS strano

[Goofy]

Nel dubbio proverei il metodo antico, una telefonata al mittente

[GioArca67]

Non c'è numero mittente...
La cosa interessante è che attendevo effettivamente un pacco e che l'SMS è arrivato poco dopo il cambio di stato nel tracking!

Ho eliminato l'ultima settimana di cookies nel telefono tanto per...

Ma vorrei capire se mandano qualcosa nei vari redirect automatici (virus) oppure se cercano di fare solo Phishing tentando di presentare un sito loro come uno ufficiale per prenderti credenziali ed altre info.
Nel secondo caso mi preoccuperei di meno.

Quello che ancora mi assilla è perché se con curl.exe mando il link del primo redirect non ottengo risposta, mentre da browser fa (almeno) un ulteriore redirect sulla pagina di ricerca di Google.
Devo mettermi su una macchina virtuale Linux e guardare che succede con uno sniffer.

[Goofy]

Intendevo il mittente del pacco che stai aspettando non quello del messaggio

[GioArca67]

E' da un sito di Phishing..

ho scoperto che mettono "solo" dei cookie:

quando fai un GET a ateg.info/CODICE arriva una pagina con 302 (redirect con location indicata nell'header) contenente fra l'altro una semplice pagina con un redirect nell'head ed un link nel body (nel caso i redirect automatici non andassero...).
il collegamento è verso un altro sito ospitato in Germania ed il link usa la porta 443 (https): "https://acateriorbreverse.com/61ae25d4-6d0e-4823-a2df-b14fad60a7e1?click_id=...."

acateriorbreverse.com ha IP 18.159.13.173
mi sono collegato in telnet, alla porta 80 e ho mandato manualmente una GET alla pagina indicata confezionata in HTTP/1.1 ed il server risponde:

Codice: Seleziona tutto

HTTP/1.1 302
Server: nginx
Date: Sun, 16 Apr 2023 10:59:14 GMT
Content-Length: 0
Connection: keep-alive
Cache-Control: no-store, no-cache, pre-check=0, post-check=0
Expires: Thu, 01 Jan 1970 00:00:00 GMT
Location: https://google.com
Pragma: no-cache
Set-Cookie: 61ae25d4-6d0e-4823-a2df-b14fad60a7e1-v4=rzJGfy21fYJNKIf1P6hp53erz2fkxjUZLMEnLVWKwNM; Max-Age=86400; Expires=Mon, 17-Apr-2023 10:59:14 GMT; Domain=acateriorbreverse.com; Path=/; HttpOnly
Set-Cookie: cc-v4=0QCueETv3UpNQc%2Ft%2BbhpshpXyMtD43TJ5%2B4SZRM7Sxz9IHnBNeAolkmQVpnl6DEvJ%2BBi9l6ud8ZUfX9DtnsVcRWUGa5ubd%2FKiZ8WYcFkzM2kdkyG5ifFr7YpxWBNgbCGoBA3DP65Zy%2BuPJ31ZMBNFg%3D%3D; Max-Age=31536000; Expires=Mon, 15-Apr-2024 10:59:14 GMT; Domain=acateriorbreverse.com; Path=/; HttpOnly


di nuovo un 302, questa volta (avendo finito il compito) verso google....

Per colpa di Invoke-WebRequest (avvevo usato curl, ma sul mio Winzozz è un alias per la Invoke-WebRequest che praticamente si comporta come il browser) mi ha messo i due cookie, che ho tolto e dopo una scansione fatta con un paio di SpyHunter e antivirus non avevo nulla di strano.
Ma rimane il dubbio:
Che fanno quei 2 Cookie?
Chi riesce ad aiutarmi?

[Etemenanki]

Probabilmente "segnaposti" per pubblicita' mirata (se non sono maliziosi o dannosi) ... alcuni piantano dei cookie che poi altri siti cercano, e se li trovano ti impestano di pubblicita' "mirate" anziche' generiche.

In alcuni casi, ma rari, certi siti piantano "segnaposti" per altri siti che, se visitati anche dopo molto tempo, cercano di inserire trojan dove trovano questi segnaposti (seguendo il principio del "se ha cliccato sul link quella volta, facendosi installare il cookie-segnaposto, puo essere piu facile fregarlo", le provano tutte) ... ma non sono molti, e basta eliminare tutto ogni volta che si esce per fregarli.

Io ho configurato firefox per accettare solo gli indispensabili e solo per la sessione, non accettare mai cookie di terze parti neppure dai siti approvati, eliminare sempre tutti i cookie alla chiusura e non consentire mai alcuna eccezione (cancellando anche gli stessi di mozilla.org e collegati), ed ogni volta che mi esce la scermata scassaba**e dei cookie rifiuto sempre tutto il rifiutabile a prescindere ... vero, in questo modo non memorizzi i login e devi loggarti ogni volta che rientri dappertutto, in compenso non mi succede mai che se visito per caso un sito, ad esempio, di bici, le settimane successive mi impestino tutti di pubblicita' di bici, come invece succede a certi miei conoscenti.

[GioArca67]

Si, ma i cookie sono legati al dominio (nel caso specifico indica Domain=acateriorbreverse.com;) e dovrebbero essere poter letti solo da quel dominio.

[Etemenanki]

La parola chiave qui e' "dovrebbero"

E comunque non e' indispensabile che venga letto, ne che abbia senso, se e' di natura malevola, ma solo che ci sia ... faccio un esempio molto al volo di quello che intendo, se cerco di leggere un file che non c'e', ottengo un errore "file non found", se cerco di leggere un file che c'e', ma per il quale non ho l'autorizzazione, ottengo un errore "permission denied", il fatto stesso di non aver ottenuto un "file not found" mi dice che il file c'e' e posso procedere

[GioArca67]

Non credo sia possibile quello che dici: un dominio ha accesso solo ai propri cookie, per tutti gli altri dovrebbe tornare lo stesso messaggio di errore, non ha senso che torni 2 messaggi diversi.