Phishing

Wir alle hören oft von Unternehmen, die gehackt wurden und dass Schäden als Folge der Angriffe gemeldet wurden, wie z. B. Dokumentenlecks, Nichtverfügbarkeit von Diensten, kompromittierte Anmeldeinformationen und so weiter. Aber oft beginnt alles mit Phishing. Mal sehen, was es mit dieser Attacke auf sich hat!

● Was ist Phishing?

Nun, Phishing ist eine Art Cybersicherheitsangriff. Genauer gesagt, ein Social-Engineering-Angriff. Es gibt verschiedene Möglichkeiten, wie dies geschieht: E-Mails, Telefonanrufe, SMS und so weiter. Der Punkt ist, dass der Angreifer versuchen wird, sich als jemand oder etwas auszugeben, um Sie auszutricksen und Elemente wie Anmeldeinformationen, Kreditkarteninformationen zu erhalten oder Sie dazu zu bringen, Software zu installieren oder auszuführen, die Ihr Gerät infiziert oder Daten stiehlt.

In diesem Artikel konzentrieren wir uns auf Phishing-E-Mails, da dies meiner Meinung nach die häufigste Art ist, auf die wir diesem Angriff begegnen.

● Gehen Sie über das Erscheinungsbild hinaus – sehen Sie sich die versteckten E-Mail-Informationen an

Wenn wir normalerweise eine E-Mail erhalten, können wir einige Dinge sehen, z. B. wer der Absender ist (Name und E-Mail-Adresse), den Betreff, das Datum, die E-Mail des Empfängers (normalerweise Sie), die Nachricht und möglicherweise einige Anhänge (wenn es so ist). Im Grunde könnte man sagen, es reicht.

Aber wie würden Sie reagieren, wenn ich Ihnen sagen würde, dass es mehr Informationen gibt, als sichtbar sind? Wir können alle Details sehen, wenn wir die Rohversion der E-Mail überprüfen. Ich werde zeigen, wie man das für Yahoo und Gmail macht, aber die Schritte sollten für die anderen ähnlich sein.

Yahoo – Drücken Sie nach dem Öffnen der E-Mail einfach auf die Schaltfläche „3 horizontale Punkte“ und klicken Sie dann auf „Rohnachricht anzeigen“.

Gmail - Drücken Sie nach dem Öffnen der E-Mail einfach auf die Schaltfläche „3 vertikale Punkte“ und klicken Sie dann auf „Original anzeigen“.

Unten ist ein Teil-Screenshot aus der Rohversion einer E-Mail, die ich von Duolingo erhalten habe, von der ich weiß, dass sie legitim ist.

● Wie Header uns helfen könnten

Eine Sache, die wir überprüfen können, ist, ob es eine Übereinstimmung zwischen den Headern From und Reply-To gibt. Manchmal müssen Sie nicht einmal die Rohversion der E-Mail sehen, da die Diskrepanz zwischen dem Namen und der E-Mail-Adresse des Absenders sehr groß und offensichtlich ist. Aber falls dies nicht auf den ersten Blick sichtbar ist, können Sie es feststellen, wenn Sie sich diese 2 Überschriften ansehen.

Es kann Situationen geben, in denen die E-Mail echt ist und beide Header unterschiedliche Adressen haben, aber selbst wenn dies passiert, ist die Domäne dieselbe. Im obigen Screenshot können wir sehen, dass From und Reply-To übereinstimmen. Als zusätzlichen Schritt können Sie den Return-Path- Header überprüfen. In unserem Beispiel gibt es eine Domäne, die mit unserem Absender verwandt ist.

X-Originating-IP sollte auch helfen. Wenn Sie diese IP überprüfen, erhalten Sie möglicherweise Informationen, die bestätigen, dass die empfangene E-Mail mit Phishing in Verbindung steht. Eine Website, auf der Sie eine IP überprüfen können, ist IPInfo . X-Relaying-Domain könnte Ihnen auch einen ähnlichen Hinweis geben.

Sie können verschiedene Tools verwenden, um Header empfangener E-Mails zu analysieren. Ich habe mehrere getestet, am besten hat mir MailHeader gefallen . Ich empfehle es, falls Sie jemals solche Dinge untersuchen müssen.

● Aufschlussreiche Anzeichen für Phishing-bezogene E-Mails

Es gibt ein paar Elemente, die darauf hindeuten, dass eine E-Mail nicht legitim ist und es sich tatsächlich um Phishing handelt. Sehen wir uns einige davon an:

▪ schlechte Grammatik

In Phishing-E-Mails kann es vorkommen, dass Sie häufig auf schlechte Grammatik stoßen. Auch die Rechtschreibung ist oft ein Problem. Beispielsweise erhalten Sie eine E-Mail, die besagt, dass Ihr Netflix - Konto abgelaufen ist. Seien Sie nicht überrascht, falls Sie sehen, dass der Absender Netflx geschrieben hat . Ein weiterer Aspekt, der Phishing aufdeckt, sind Sätze, die keinen Sinn ergeben. Ich denke, dies kann vor allem dann beobachtet werden, wenn die Sprache des Textes nicht Englisch ist. Diese Fehler stammen wahrscheinlich von fehlerhaften automatischen Übersetzungen. Vergessen wir am Ende nicht die Tippfehler.

▪ Dringlichkeit

Wenn Sie eine Phishing-E-Mail erhalten, können Sie dieses Element meistens erkennen. Ihr „Apple“-Konto wurde gesperrt? Sie müssen JETZT auf diesen Link zugreifen! Ihre Bankverbindung muss aktualisiert werden? Du musst es in diesem Moment tun! Sie haben einen Preis im Lotto gewonnen? Sie müssen es jetzt beanspruchen, indem Sie auf diesen Link klicken, sonst verlieren Sie es! Wann immer Sie Dringlichkeit sehen, sollten Sie misstrauisch werden.

▪ Verwendung nur generischer Formeln

Ihre Bank hat Ihnen eine E-Mail geschickt, in der steht, dass Ihr Konto gesperrt wurde und Sie auf den bereitgestellten Link klicken müssen, um es zu entsperren (natürlich müssen Sie es jetzt tun :)), aber die erste Zeile der Nachricht lautet „Sehr geehrte Damen und Herren Kunde"? Nun, wenn es wirklich Ihre Bank ist, die es gesendet hat, sollte sie Ihren Vor-/Nachnamen bereits kennen. Schließlich hat es diese Details in seinen Systemen.

▪ Ihre E-Mail-Adresse ist nicht in To, sondern in BCC

Die E-Mail, die Sie erhalten haben, sollte für Sie bestimmt sein, richtig? Ich meine, Sie sind derjenige, der dringend die Details des Kontos aktualisieren muss, richtig? Warum sind Sie in BCC und nicht in To ? Es gibt keine Logik und es sollte sofort als rote Fahne gesehen werden.

● Böswillige „Akteure“

Wenn wir Phishing-E-Mails erhalten, besteht ihr Zweck darin, uns dazu zu bringen, eine Aktion auszuführen, entweder etwas herunterzuladen, einige Dateien auszuführen oder auf bestimmte Links zu klicken. Lassen Sie uns einige untersuchen:

▪ Anhänge

Viele Phishing-E-Mails enthalten Anhänge. Es kann ein Archiv sein, das bösartige ausführbare Dateien enthält, es gibt Situationen, in denen Sie eine PDF-Datei erhalten, die Links enthält, die Sie auf böse Websites umleiten, oder vielleicht ist die Datei in der E-Mail eine Excel-Datei mit gefährlichen Makros. Als Beispiel, dem ich persönlich begegnet bin, gab es eine Datei, die wie ein PDF aussah. Der Absender hatte jedoch eine interessante Idee, die einige Leute täuschen könnte, wenn sie nicht vorsichtig genug sind. Offensichtlich war es keine gültige Rechnung, aber der Name der Datei war ungefähr so:

"Invoice_20210312172833.pdf                                          .exe"

▪ irreführende Domänennamen

Sie haben eine E-Mail von Facebook erhalten, in der Sie über den Erhalt eines Preises in einem beliebten Spiel informiert werden, das auf dieser Website gespielt wird (vielleicht sogar Sie). Um es zu beanspruchen, müssen Sie sich anmelden und es abholen. Selbstverständlich erhalten Sie einen Link zum Login. Angenommen, Sie haben darauf zugegriffen und eine Webseite geöffnet, die wie die offizielle Anmeldung von Facebook aussieht . Nichts falsch, oder? Aber wenn Sie genauer hinsehen, stellen Sie fest, dass es nicht facebook.com , sondern faceb00k.com ist . Angreifer verwenden diesen Trick, um Zugangsdaten für verschiedene Plattformen zu stehlen, indem sie die Anmeldeseite klonen und einen etwas anderen Domänennamen verwenden, indem sie einen Buchstaben durch ein ähnliches Zeichen ersetzen ( m durch n , o durch0 , i mit l und so weiter). Normalerweise zeigen diese Seiten nur eine Fehlermeldung, egal was Sie einfügen. Ich denke, es gibt noch ein fieseres Manöver, das die Angreifer ausführen können. In unserem Fall kann durch Eingabe der E-Mail-Adresse und des Passworts und Drücken der Anmeldeschaltfläche eine Fehlermeldung mit ungültigen Anmeldeinformationen angezeigt werden, manchmal passiert nichts (na ja, nichts, was Sie sehen werden :) ). Aber wenn der Angreifer die offizielle Anmeldeseite klont, könnte er den Code für die Anmeldung ändernSchaltfläche auf diese Weise: Zeigen Sie dem Benutzer eine Fehlermeldung und leiten Sie die gefälschte Seite unmittelbar danach schnell auf die offizielle Anmeldeseite um. Sie versuchen es erneut und jetzt haben Sie sich erfolgreich angemeldet. Sie werden denken, dass Sie vielleicht nur ein Zeichen Ihres Passworts falsch geschrieben haben und alles in Ordnung ist. Nun, in einer solchen Situation hat der Angreifer bereits Ihre Zugangsdaten und das Schlimme daran ist, dass Sie es nicht einmal wissen.

▪ verkürzte URLs

Sie sind der glückliche Gewinner eines Einkaufsgutscheins bei einem bekannten Supermarkt. So steht es zumindest in der E-Mail. Um es zu beanspruchen, müssen Sie nur einen Knopf drücken. Sie bewegen Ihren Mauszeiger auf diese Schaltfläche und sehen unten links auf der Seite einen Link wie bit.ly/d87hBB3m. Vielleicht haben Sie schon einmal auf ähnliche geklickt und sie haben einige YouTube-Videos geöffnet, die Sie sich ansehen wollten, also brauchen Sie sich keine Sorgen zu machen. Schließlich ist der Link nicht http://hexorveetlol.xyz/steal-password , richtig? Das würde Sie dazu bringen, zweimal darüber nachzudenken, bevor Sie darauf zugreifen. Nun, leider könnte hinter diesem verkürzten Link genau etwas Äquivalent zu dem obigen sein. Der Grund, warum ein Angreifer einen verkürzten Link verwendet, besteht darin, eine seltsame URL zu verbergen, auf die Sie niemals klicken würden.

▪ MS Word/Excel/Powerpoint-Anhänge mit Makros

Einige Dateien, die Programmen aus dem MS Office-Paket zugeordnet sind, können Makros enthalten. Wenn Sie eine E-Mail (insbesondere unerwünscht oder unerwartet) mit einem solchen Anhang erhalten, müssen Sie sehr vorsichtig sein. Sie haben auf der Arbeit eine E-Mail mit einer Excel-Datei erhalten, die eine Liste der Ausgaben enthält und die Preise in $ angezeigt werden. In der ersten Zeile sehen Sie eine Meldung, dass Sie Makros aktivieren müssen, um die Werte in die lokale Währung umzurechnen. Nun, Sie möchten diese Werte sehen und nicht in $, richtig? Ich würde es mir zweimal überlegen, bevor ich diese aktiviere.

Weitere Informationen zu Makros finden Sie im folgenden Video, in dem ich darüber spreche und eine Herausforderung im Zusammenhang mit Phishing löse, bei der es um Makros geht. Guck mal!

● Ich möchte mich schützen, was kann ich tun?

▪ Verwenden Sie Logik, vermeiden Sie Emotionen

Sie haben diesen Lottogewinn gewonnen und sind sehr glücklich? Moment mal, hast du schon mal Lotto gespielt? Nein? Wie haben sie dich dann gefunden, um die Belohnung zu geben?

Du hast einen Einkaufsgutschein über 1000 $ von diesem Supermarkt bekommen? Lass uns ein bisschen nachdenken, hast du schon mal etwas davon gekauft? Kaufen Sie nie dort ein? Woher hat es dann Ihre E-Mail-Adresse?

Ihr Netflix-Konto wurde gesperrt und Sie müssen diesen großen Knopf drücken, um es zu entsperren, sonst wird es deaktiviert? Hast du überhaupt ein Netflix-Konto? Du nicht? Warum würden Sie dann eine solche E-Mail erhalten?

Ihre „Bank“ bittet Sie, die Kontonummer zu aktualisieren? Mhm, wird das Konto nicht von der Bank selbst bereitgestellt? Warum sollte es Sie bitten, etwas zu aktualisieren, um das sich seine Mitarbeiter kümmern?

▪ sich an die offiziellen Stellen wenden

Wenn Sie diese E-Mail von Netflix erhalten, gehen Sie anhand der obigen Beispiele auf deren Website und suchen Sie nach dem Kontaktbereich (E-Mail-Adresse, Telefonnummer oder auf andere Weise) und fragen Sie, ob Ihr Konto wirklich gesperrt ist. Wenn Sie die E-Mail von der „Bank“ berücksichtigen, tun Sie dasselbe und rufen Sie an, um zu fragen, ob ihr Team sie wirklich gesendet hat. Sie könnten sogar darum bitten, ihnen die Nachricht zur Analyse weiterzuleiten. Dies könnte auch anderen Menschen helfen, nicht nur Ihnen.

▪ Achten Sie auf den Domainnamen

Ein kleiner Unterschied in einem Charakter kann dazu führen, dass Ihr Konto kompromittiert wird, also schauen Sie sich die Websites genau an, auf die Sie zugreifen.

▪ Erweitern Sie die verkürzten URLs

Da die Angreifer diese Art von Technik verwenden, um die schädlichen Links zu verbergen, warum sollten Sie nicht das Gegenteil tun und sehen, was sie tatsächlich zu verbergen versuchen? Es gibt viele Websites, die Ihnen dabei helfen können, eine davon ist ExpandURL .

▪ Überprüfen Sie den Anhang

Sie sollten überprüfen, ob die an die E-Mail angehängte Datei echt ist oder nicht. Sie können dafür verschiedene Websites verwenden, es gibt Seiten, die Berichte über bestimmte Dinge bereitstellen, wenn festgestellt wurde, dass sie schädlich sind. Es gibt mehrere Methoden, vom Hochladen der Datei bis hin zur Bereitstellung der URL, wo diese gefunden wird, oder des entsprechenden Hash-Werts. Ein Beispiel für eine solche Seite ist VirusTotal .

▪ Lassen Sie die Makros für MS Office-Dokumente standardmäßig deaktiviert

Eine andere Sache, die wir tun können, ist, die automatische Ausführung von Makros zu blockieren. Auf diese Weise stellen wir sicher, dass schädliche Befehle nicht direkt beim Öffnen eines Dokuments oder einer Excel-Tabelle ausgeführt werden. Wenn die Datei Makros enthält, wir sie aber deaktiviert haben, können wir zumindest nachsehen, was darin enthalten ist.

Das ist alles für jetzt. Ich hoffe, dass es Ihnen gefallen hat. Vielen Dank für die Zeit, die Sie sich genommen haben, um dies zu lesen, und ich warte auf Sie für meinen nächsten Artikel!