Phishing

Dec 13 2022

Todos nós ouvimos frequentemente sobre empresas que foram hackeadas e que danos foram relatados como resultado dos ataques, como vazamento de documentos, indisponibilidade de serviços, credenciais comprometidas e assim por diante. Mas, muitas vezes, tudo começa com phishing.

● O que é phishing?

Bem, phishing é um tipo de ataque de segurança cibernética. Mais precisamente, um ataque de engenharia social. Existem várias maneiras pelas quais isso ocorre: e-mails, telefonemas, sms e assim por diante. A questão é que o invasor tentará se passar por alguém ou algo para enganá-lo e obter itens como credenciais, informações de cartão de crédito ou fazer com que você instale ou execute um software que infectará seu dispositivo ou roubará dados.

Neste artigo vamos nos concentrar nos e-mails de phishing, já que, na minha opinião, é a forma mais comum de encontrarmos esse ataque.

● Vá além das aparências - veja as informações de e-mail ocultas

Quando normalmente recebemos um e-mail, existem algumas coisas que podemos ver, como quem é o remetente (nome e endereço de e-mail), o assunto, a data, o e-mail do destinatário (geralmente você), a mensagem e talvez alguns anexos (se for o caso). Basicamente, pode-se dizer que é o suficiente.

Mas como você reagiria se eu dissesse que há mais informações do que visíveis? Podemos ver todos os detalhes se verificarmos a versão bruta do e-mail. Mostrarei como fazer isso para o Yahoo e o Gmail, mas as etapas devem ser semelhantes para os outros.

Yahoo - após abrir o e-mail, basta apertar o botão “3 pontos horizontais” e depois clicar em “Ver mensagem bruta”.

Yahoo - ver e-mail bruto

Gmail - após abrir o e-mail, basta apertar o botão “3 pontinhos verticais” e depois clicar em “Mostrar original”.

Gmail - ver e-mail bruto

Abaixo está uma captura de tela parcial da versão bruta de um e-mail recebido do Duolingo, que eu sei que é legítimo.

Exemplo de cabeçalhos de e-mail

● Como os cabeçalhos podem nos ajudar

Uma coisa que podemos verificar é se há uma correspondência entre os cabeçalhos From e Reply-To . Às vezes, você nem precisa ver a versão bruta do e-mail porque a discrepância entre o nome e o endereço de e-mail do remetente é muito grande e óbvia. Mas, caso isso não seja visível à primeira vista, você pode perceber ao dar uma olhada nesses 2 cabeçalhos.

Pode haver situações em que o e-mail é legítimo e os dois cabeçalhos têm endereços diferentes, mas, mesmo que isso aconteça, o domínio é o mesmo. Na captura de tela acima, podemos ver que From e Reply-To correspondem. Como uma etapa extra, você pode verificar o cabeçalho Return-Path . No nosso exemplo, existe um domínio relacionado ao nosso remetente.

X-Originating-IP também deve ajudar. Ao verificar esse IP, você pode obter informações que podem confirmar que o e-mail recebido está relacionado a phishing. Um site onde você pode verificar um IP é o IPInfo . O X-Relaying-Domain também pode fornecer uma dica semelhante.

Você pode usar diferentes ferramentas para analisar cabeçalhos de e-mails recebidos. Testei vários, o que mais gostei é o MailHeader . Eu o recomendo caso você precise investigar essas coisas.

● Sinais reveladores de e-mails relacionados a phishing

Existem alguns elementos que indicam que um e-mail não é legítimo e, na verdade, é phishing. Vejamos alguns deles:

▪ gramática ruim

Muitas vezes, você pode encontrar erros de gramática em e-mails de phishing. Além disso, muitas vezes, a ortografia é um problema. Por exemplo, você recebe um e-mail informando que sua conta Netflix expirou. Não se surpreenda caso veja que o remetente escreveu Netflx . Outro aspecto que expõe o phishing são as frases que não fazem sentido. Acho que isso pode ser observado principalmente quando o idioma do texto não é o inglês. Esses erros provavelmente vêm de traduções automáticas incorretas. No final, não vamos esquecer os erros de digitação.

▪ urgência

Na maioria das vezes, quando você recebe um e-mail de phishing, pode identificar esse elemento. Sua conta “Apple” foi bloqueada? Você deve acessar este link AGORA! Os detalhes da sua conta bancária devem ser atualizados? Você tem que fazer isso naquele momento! Você ganhou um prêmio na loteria? Você precisa reivindicá-lo agora clicando nesse link, caso contrário, você o perderá! Sempre que você perceber a urgência envolvida, deve começar a desconfiar.

▪ uso apenas de fórmulas genéricas

Seu banco lhe enviou um e-mail informando que sua conta foi bloqueada e você precisa clicar no link fornecido para desbloqueá-la (é claro, você precisa fazer isso agora :)), mas a primeira linha da mensagem é “Caro cliente"? Bom, se realmente for seu banco quem enviou, ele já deve saber seu nome/sobrenome. Afinal, ela tem esses detalhes em seus sistemas.

▪ seu endereço de e-mail não está em To, mas em BCC

O e-mail que você recebeu era para ser para você, certo? Quer dizer, é você quem tem que atualizar urgentemente os dados da conta, certo? Por que você está em BCC e não em To ? Não há lógica e deve ser visto imediatamente como uma bandeira vermelha.

● "Atores" maliciosos

Quando recebemos e-mails de phishing, o objetivo deles é nos fazer realizar uma ação, seja baixando algo, executando alguns arquivos ou clicando em links específicos. Vamos examinar alguns:

▪ anexos

Muitos e-mails de phishing vêm com anexos. Pode ser um arquivo que contém executáveis maliciosos dentro, há situações em que você obtém um arquivo PDF e contém links que o redirecionam para sites desagradáveis ou, talvez, o arquivo no e-mail seja um Excel com macros perigosas. Como exemplo que encontrei pessoalmente, havia um arquivo que parecia um PDF. No entanto, o remetente teve uma ideia interessante que pode enganar algumas pessoas se não forem cuidadosas o suficiente. Obviamente, não era uma fatura legítima, mas o nome do arquivo era mais ou menos assim:

"Invoice_20210312172833.pdf                                          .exe"

▪ nomes de domínio enganosos

Você recebeu um e-mail do Facebook no qual é informado sobre o recebimento de um prêmio em um jogo popular que as pessoas jogam neste site (talvez até você). Para reivindicá-lo, você precisa fazer login e recolhê-lo. Claro, você recebe um link para login. Digamos que você acessou e abriu uma página da web que se parece com o login oficial do Facebook . Nada de errado, certo? Mas quando você examina melhor, percebe que não é facebook.com , mas faceb00k.com . Os invasores usam esse truque para roubar credenciais de diferentes plataformas, clonando a página de login e usando um nome de domínio ligeiramente diferente, substituindo uma letra por um caractere semelhante ( m com n , o com0 , i com l e assim por diante). Normalmente, essas páginas mostrarão apenas uma mensagem de erro, independentemente do que você inserir. Acho que há uma manobra ainda mais desagradável que os atacantes podem fazer. No nosso caso, ao introduzir o e-mail e a palavra-passe e carregar no botão de login, pode aparecer uma mensagem de erro com credenciais inválidas, por vezes não acontece nada (bem, nada que verás :) ). Mas, quando o invasor clona a página de login oficial, ele pode alterar o código de Loginbotão desta forma: mostre uma mensagem de erro ao usuário e, imediatamente após, redirecione rapidamente a página falsa para a página de login oficial. Você tenta novamente e agora você se conectou com sucesso. Você pensará que talvez tenha digitado errado um caractere de sua senha e está tudo bem. Bem, em tal situação, o invasor já tem suas credenciais e a parte ruim é que você nem sabe disso.

▪ URLs encurtados

Você é o sortudo ganhador de um vale-compras em um supermercado conhecido. Bem, pelo menos é o que diz o e-mail. Para reivindicá-lo, basta pressionar um botão. Você passa o cursor do mouse sobre esse botão e vê no canto inferior esquerdo da página um link como bit.ly/d87hBB3m. Você já deve ter clicado em semelhantes antes e eles abriram alguns vídeos do YouTube que você queria assistir, então não há com o que se preocupar. Afinal, o link não é http://hexorveetlol.xyz/steal-password , certo? Aquele faria você pensar duas vezes antes de acessá-lo. Bem, infelizmente, por trás desse link encurtado pode haver exatamente algo equivalente ao anterior. A razão pela qual um invasor usaria um link encurtado é para ocultar uma URL estranha na qual você nunca clicaria.

▪ Anexos MS Word/Excel/Powerpoint com macros

Alguns arquivos associados a programas do pacote MS Office podem conter macros. Ao receber um e-mail (especialmente indesejado ou inesperado) com esse anexo, você precisa ter muito cuidado. Você recebeu um e-mail no trabalho com um arquivo excel que contém uma lista de despesas e os preços são mostrados em $. Na primeira linha você vê uma mensagem dizendo que você precisa habilitar as macros para converter os valores para a moeda local. Bem, você quer ver esses valores, e não em $, certo? Eu pensaria duas vezes antes de habilitá-los.

Você pode saber mais sobre macros no vídeo abaixo, no qual falo sobre isso e resolvo um desafio relacionado a phishing que envolve macros. Dar uma olhada!

● Quero me proteger, o que devo fazer?

▪ use a lógica, evite emoções

Você ganhou aquele prêmio de loteria e está muito feliz? Espere um segundo, você já jogou na loteria? Não? Então, como eles encontraram você para dar a recompensa?

Você recebeu um vale-compras de $ 1.000 daquele supermercado? Vamos pensar um pouco, você já comprou algo dela? Você nunca faz suas compras lá? Então, como ele tem seu endereço de e-mail?

Sua conta Netflix foi bloqueada e você precisa apertar aquele botão grande para desbloqueá-la, caso contrário ela será desativada? Você ainda tem uma conta Netflix? Você não? Então, por que você receberia tal e-mail?

Seu “banco” pede para você atualizar o número da conta? Mhm, essa conta não é fornecida pelo próprio banco? Por que ele pediria para você atualizar algo que a equipe deles cuida?

▪ contactar as entidades oficiais

Usando os exemplos acima, se você receber aquele e-mail da Netflix, entre no site deles e procure a seção de contato (endereço de e-mail, número de telefone ou qualquer outro meio) e pergunte se sua conta está realmente bloqueada. Além disso, considerando o e-mail do “banco”, faça a mesma coisa e ligue para perguntar se a equipe deles realmente enviou. Eles podem até pedir para encaminhar a mensagem para análise. Isso também pode ajudar outras pessoas, não apenas você.

▪ preste atenção ao nome de domínio

Uma pequena diferença em um personagem pode comprometer sua conta, então dê uma boa olhada nos sites que você está acessando.

▪ expandir os URLs encurtados

Como os invasores usam esse tipo de técnica para ocultar os links maliciosos, por que você não faria o contrário e veria o que eles realmente estão tentando ocultar? Existem muitos sites que podem ajudá-lo a fazer isso, um deles é o ExpandURL .

▪ verifique o anexo

Você deve verificar se o arquivo anexado ao e-mail que você recebeu é legítimo ou não. Você pode usar sites diferentes para isso, existem páginas que fornecem relatórios sobre coisas específicas, caso seja descoberto que são maliciosos. Existem vários métodos, desde o upload do arquivo até o fornecimento da URL onde ele se encontra ou o valor de hash correspondente. Um exemplo dessa página é VirusTotal .

▪ manter as macros desativadas por padrão para documentos do MS Office

Outra coisa que podemos fazer é bloquear a execução automática de macros. Dessa forma, garantimos que comandos maliciosos não sejam executados diretamente ao abrir um documento ou uma planilha do Excel. Se o arquivo contém macros, mas as desativamos, pelo menos podemos dar uma olhada no que está dentro.