Phishing: falsa notifica da AOL e la Canadian Family Pharmacy

Questa volta a sponsorizzare la Canadian Family Pharmacy ci ha pensato una falsa mail proveniente da Aol, dopo i già citati casi Facebook, Twitter.

Come le altre volte la mail è davvero ben fatta, il mittente fittizio è AOLCenter@message.aol.com, ma quello che in realtà ha inviato la mail sembra essere claudesiii@aol.com. Cercandolo in rete è associato ad un membro della confraternita Sigma Alpha di nome Claude Scarborough.
Ovviamente non mi è dato sapere se sia stato effettivamente lui ad iniziare questa ondata di spam o se semplicemente il suo indirizzo sia stato clonato (molto probabile).
Di certo c'è soltanto che nell'indirizzo nascosto che erroneamente si vuol far credere punti ad AOL, si viene rediretti al solito sito della Canadian Family Pharmacy, questa volta però raggiungibile al dominio viagralevitratestosterone.com (dato che il vecchio dominio pillscioffline.com sembra essere out) passando per http://larive.pascal.perso.neuf.fr/calorie.html

In base all'ultimo whois disponibile, il dominio viagralevitratestosterone utilizzato risulta essere intestato a tale Sophia Dietrich, come risportato qui:

Domain Name: VIAGRALEVITRATESTOSTERONE.COM

Registrant:
Sofia Dietrich
Sofia Dietrich ()
55 Gaffney Street
Patterson Lakes
VIC,3197
AU
Tel. +61.391891880

Creation Date: 13-Oct-2011
Expiration Date: 13-Oct-2012

Status:LOCKED

Interessante è invece il dominio usato come ponte: http://larive.pascal.perso.neuf.fr che risulta essere un sottodominio appartenente a Société Française du Radiotéléphone.
Visitando direttamente l'indirizzo in questione si ottiene accesso alla root del sottodominio che ospita una serie di script malevoli e file di redirect ad uso e consumo degli spammer. Quasi sicuramente questo server è stato hackerato e sfruttato come deposito.