Phishing

Tutti sentiamo spesso parlare di aziende che sono state hackerate e che sono stati segnalati danni a seguito degli attacchi, come perdite di documenti, indisponibilità di servizi, credenziali compromesse e così via. Ma molte volte tutto inizia con il phishing. Vediamo qual è il problema con questo attacco!

● Cos'è il phishing?

Ebbene, il phishing è un tipo di attacco alla sicurezza informatica. Più precisamente, un attacco di ingegneria sociale. Ci sono vari modi in cui ciò accade: e-mail, telefonate, sms e così via. Il punto è che l'aggressore proverà a impersonare qualcuno o qualcosa per ingannarti e ottenere elementi come credenziali, informazioni sulla carta di credito o farti installare o eseguire software che infetterà il tuo dispositivo o ruberà dati.

In questo articolo ci concentreremo sulle email di phishing, poiché, a mio parere, è il modo più comune in cui incontriamo questo attacco.

● Vai oltre le apparenze: visualizza le informazioni nascoste sull'email

Quando di solito riceviamo un'e-mail, ci sono alcune cose che siamo in grado di vedere, come chi è il mittente (nome e indirizzo e-mail), l'oggetto, la data, l'e-mail del destinatario (di solito tu), il messaggio e forse alcuni allegati (se è il caso). Insomma, si potrebbe dire che basta.

Ma come reagiresti se ti dicessi che ci sono più informazioni di quelle visibili? Possiamo vedere tutti i dettagli se controlliamo la versione grezza dell'e-mail. Mostrerò come farlo per Yahoo e Gmail, ma i passaggi dovrebbero essere simili per gli altri.

Yahoo - dopo aver aperto l'e-mail, basta premere il pulsante "3 punti orizzontali" e quindi fare clic su "Visualizza messaggio non elaborato".

Gmail - dopo aver aperto l'e-mail, basta premere il pulsante "3 puntini verticali" e quindi fare clic su "Mostra originale".

Di seguito è riportato uno screenshot parziale dalla versione grezza di un'e-mail ricevuta da Duolingo, che so essere legittima.

● In che modo le intestazioni potrebbero aiutarci

Una cosa che possiamo controllare è se c'è una corrispondenza tra le intestazioni From e Reply-To . A volte, non hai nemmeno bisogno di vedere la versione grezza dell'e-mail perché la discrepanza tra il nome e l'indirizzo e-mail del mittente è molto grande ed evidente. Ma, nel caso in cui questo non sia visibile a prima vista, puoi notarlo quando dai un'occhiata a queste 2 intestazioni.

Potrebbero esserci situazioni in cui l'e-mail è legittima ed entrambe le intestazioni hanno indirizzi diversi, ma, anche se ciò accade, il dominio è lo stesso. Nello screenshot qui sopra, possiamo vedere che From e Reply-To corrispondono. Come passaggio aggiuntivo, puoi verificare l' intestazione Return-Path . Nel nostro esempio, c'è un dominio relativo al nostro mittente.

Anche X-Originating-IP dovrebbe aiutare. Controllando questo IP, potresti ottenere informazioni che potrebbero confermare che l'e-mail ricevuta è correlata al phishing. Un sito Web in cui è possibile verificare un IP è IPInfo . X-Relaying-Domain potrebbe anche darti un suggerimento simile.

Puoi utilizzare diversi strumenti per analizzare le intestazioni delle email ricevute. Ne ho provati diversi, quello che mi è piaciuto di più è MailHeader . Lo consiglio nel caso abbiate mai bisogno di indagare su queste cose.

● Segni rivelatori di e-mail correlate al phishing

Ci sono un paio di elementi che indicano che un'e-mail non è legittima ed è in realtà un phishing. Vediamo alcuni di questi:

▪ scarsa grammatica

Potresti spesso incontrare errori grammaticali nelle e-mail di phishing. Inoltre, molte volte, l'ortografia è un problema. Ad esempio, ricevi un'e-mail che dice che il tuo account Netflix è scaduto. Non stupirti se vedi che il mittente ha scritto Netflx . Un altro aspetto che denuncia il phishing sono le frasi prive di senso. Penso che questo possa essere osservato principalmente quando la lingua del testo non è l'inglese. Questi errori probabilmente derivano da traduzioni automatiche errate. Alla fine, non dimentichiamo gli errori di battitura.

▪ urgenza

La maggior parte delle volte quando ricevi un'e-mail di phishing, puoi individuare questo elemento. Il tuo account "Apple" è stato bloccato? Devi accedere a questo link ORA! I dati del tuo conto bancario devono essere aggiornati? Devi farlo in quel momento! Hai vinto un premio alla lotteria? Devi richiederlo ora facendo clic su quel link, altrimenti lo perderai! Ogni volta che vedi l'urgenza coinvolta, dovresti iniziare a essere sospettoso.

▪ utilizzo delle sole formule generiche

La tua banca ti ha inviato un'e-mail in cui afferma che il tuo account è stato bloccato e che devi fare clic sul collegamento fornito per sbloccarlo (ovviamente, devi farlo ora :)) ma la prima riga del messaggio è "Gentile cliente"? Bene, se è proprio la tua banca a inviarlo, dovrebbe già conoscere il tuo nome/cognome. Dopotutto, ha questi dettagli nei suoi sistemi.

▪ il tuo indirizzo email non è in A ma in BCC

L'e-mail che hai ricevuto doveva essere per te, giusto? Voglio dire, sei tu che devi aggiornare urgentemente i dettagli dell'account, giusto? Perché sei in BCC e non in A ? Non c'è logica e dovrebbe essere visto immediatamente come una bandiera rossa.

● "Attori" dannosi

Quando riceviamo e-mail di phishing, il loro scopo è farci eseguire un'azione, scaricare qualcosa, eseguire alcuni file o fare clic su collegamenti specifici. Esaminiamone alcuni:

▪ allegati

Molte e-mail di phishing vengono fornite con allegati. Può essere un archivio che contiene eseguibili dannosi, ci sono situazioni in cui ottieni un file PDF e contiene collegamenti che ti reindirizzano a siti Web pericolosi o, forse, il file nell'e-mail è un Excel con macro pericolose. Come esempio che ho incontrato personalmente, c'era un file che sembrava un PDF. Tuttavia, il mittente ha avuto un'idea interessante che potrebbe ingannare alcune persone se non sono abbastanza attente. Ovviamente, non era una fattura legittima, ma il nome del file era qualcosa del genere:

"Invoice_20210312172833.pdf                                          .exe"

▪ nomi a dominio fuorvianti

Hai un'e-mail da Facebook in cui sei informato della ricezione di un premio in un gioco popolare che le persone giocano su questo sito (forse anche tu). Per richiederlo, devi effettuare il login e ritirarlo. Naturalmente, ti viene fornito un link per il login. Supponiamo che tu abbia effettuato l'accesso e che sia stata aperta una pagina Web che assomiglia all'accesso ufficiale di Facebook . Niente di sbagliato, giusto? Ma quando esamini meglio, noti che non è facebook.com ma faceb00k.com . Gli aggressori utilizzano questo trucco per rubare credenziali per piattaforme diverse clonando la pagina di accesso e utilizzando un nome di dominio leggermente diverso, sostituendo una lettera con un carattere simile ( m con n , o con0 , i con l e così via). Di solito, queste pagine mostreranno solo un messaggio di errore, indipendentemente da ciò che inserisci. Penso che ci sia anche una manovra più sgradevole che gli aggressori possano fare. Nel nostro caso, inserendo l'e-mail e la password e premendo il pulsante di accesso, potrebbe apparire un messaggio di errore con credenziali non valide, a volte non succede nulla (beh, niente che vedrai :) ). Tuttavia, quando l'attaccante clona la pagina di accesso ufficiale, potrebbe alterare il codice per Loginpulsante in questo modo: mostra un messaggio di errore all'utente e, subito dopo, reindirizza velocemente la pagina fake alla pagina di login ufficiale. Riprovi e ora hai effettuato l'accesso con successo. Penserai che forse hai appena scritto male un carattere della tua password e tutto va bene. Bene, in una situazione del genere, l'attaccante ha già le tue credenziali e la parte negativa è che non lo sai nemmeno.

▪ URL abbreviati

Sei il fortunato vincitore di un buono spesa in un noto supermercato. Beh, almeno questo è quello che dice l'e-mail. Per richiederlo, devi solo premere un pulsante. Passa il cursore del mouse su quel pulsante e vedi in basso a sinistra della pagina un link come bit.ly/d87hBB3m. Potresti aver già fatto clic su video simili in precedenza e hanno aperto alcuni video di YouTube che volevi guardare, quindi non c'è nulla di cui preoccuparsi. Dopo tutto, il collegamento non è http://hexorveetlol.xyz/steal-password , giusto? Quello ti farebbe pensare due volte prima di accedervi. Ebbene, sfortunatamente, dietro quel collegamento abbreviato potrebbe esserci esattamente qualcosa di equivalente a quello sopra. Il motivo per cui un utente malintenzionato utilizzerebbe un collegamento abbreviato è per nascondere uno strano URL su cui non faresti mai clic.

▪ Allegati MS Word/Excel/Powerpoint con macro

Alcuni file associati ai programmi del pacchetto MS Office possono contenere macro. Quando ricevi un'e-mail (soprattutto indesiderata o inaspettata) con un tale allegato, devi stare molto attento. Hai ricevuto un'e-mail al lavoro con un file excel che contiene un elenco di spese e i prezzi sono indicati in $. Sulla prima riga viene visualizzato un messaggio che dice che è necessario abilitare le macro per convertire i valori nella valuta locale. Bene, vuoi vedere quei valori e non in $, giusto? Ci penserei due volte prima di abilitarli.

Puoi scoprire di più sulle macro dal video qui sotto, in cui parlo di questo e risolvo una sfida relativa al phishing che coinvolge le macro. Dare un'occhiata!

● Voglio proteggermi, cosa devo fare?

▪ usa la logica, evita le emozioni

Hai vinto quel premio della lotteria e sei molto felice? Aspetta un secondo, hai mai giocato alla lotteria? No? Allora, come ti hanno trovato per dare la ricompensa?

Hai un buono spesa di 1000$ da quel supermercato? Pensiamo un po ', hai mai comprato qualcosa da esso? Non fai mai la spesa lì? Allora come fa ad avere il tuo indirizzo email?

Il tuo account Netflix è stato bloccato e devi premere quel grosso pulsante per sbloccarlo, altrimenti verrà disabilitato? Hai anche un account Netflix? Non lo fai? Allora perché dovresti ricevere un'e-mail del genere?

La tua “banca” ti chiede di aggiornare il numero di conto? Mhm, quel conto non è fornito dalla banca stessa? Perché dovrebbe chiederti di aggiornare qualcosa di cui si occupa il loro staff?

▪ contattare gli enti ufficiali

Usando gli esempi precedenti, se ricevi quell'e-mail da Netflix, vai sul loro sito Web e cerca la sezione dei contatti (indirizzo e-mail, numero di telefono o qualsiasi altro mezzo) e chiedi se il tuo account è davvero bloccato. Inoltre, considerando l'e-mail della "banca", fai la stessa cosa e chiama per chiedere se il loro team l'ha davvero inviata. Potrebbero persino chiedere di inoltrare loro il messaggio per l'analisi. Questo potrebbe anche aiutare altre persone, non solo te.

▪ prestare attenzione al nome a dominio

Una piccola differenza in un personaggio può farti compromettere il tuo account, quindi dai un'occhiata ai siti Web a cui stai accedendo.

▪ espandere gli URL abbreviati

Poiché gli aggressori utilizzano questo tipo di tecnica per nascondere i collegamenti dannosi, perché non dovresti fare la cosa opposta e vedere cosa stanno effettivamente cercando di coprire? Ci sono molti siti che possono aiutarti a farlo, uno di questi è ExpandURL .

▪ verificare l'allegato

Dovresti verificare se il file allegato all'e-mail che hai ricevuto è legittimo o meno. Puoi utilizzare diversi siti Web per questo, ci sono pagine che forniscono rapporti su cose specifiche se è stato scoperto che sono dannose. Esistono diversi metodi, dal caricamento del file, al fornire l'URL in cui si trova o il valore hash corrispondente. Un esempio di tale pagina è VirusTotal .

▪ mantenere le macro disabilitate per impostazione predefinita per i documenti MS Office

Un'altra cosa che possiamo fare è bloccare l'esecuzione automatica delle macro. In questo modo, ci assicuriamo che i comandi dannosi non vengano eseguiti direttamente all'apertura di un documento o di un foglio excel. Se il file contiene macro ma le abbiamo disabilitate, almeno possiamo dare un'occhiata a cosa c'è dentro.

È tutto per ora. Spero ti sia piaciuto. Grazie per il tempo che hai dedicato a leggere questo e ti aspetto per il mio prossimo articolo!