Слайдшоу на главной

НЕДВИЖИМОСТЬ ЖИТОМИРА

Примеры фишинговых сообщений электронной почты

Самые хитрые и искуссные уловки мошенников. Внимание, много изображений.

b211115 1

Я не случайно поставил в заглавие поста картинку с котиком. Это один из примеров манипулирования человеческим сознанием, апеллирование к жалости. Методы воздействия злоумышленников, использующих такие приемы, находятся в области практической психологии и относятся к социальной инженерии. Играя на эмоциях, чувствах, страхах и рефлексах людей злоумышленники получают доступ к интересующей их информации. Все эти методы используются злоумышленниками при создании фишинговых почтовых сообщений.

К сожалению, уровень осведомленности пользователей о современных угрозах довольно низок, поэтому постараюсь описать основные приемы.

При атаке на пользователей электронной почты у злоумышленников сейчас две основных цели: узнать пароль пользователя или попытаться заставить скачать некий файл. Для того чтобы собрать основные векторы по первому случаю — я создал ящик и «заказал» его взлом на нескольких площадках, которые довольно легко обнаружил с помощью поисковых систем. 

Я не буду рассматривать представленные фишинговые домены и адреса почт: рядовой пользователь не запомнит чем отличается google.com/index.php от google.com.indexphp.cc. Основное, что я хочу донести — не надо слепо следовать каким-то указаниям в почте, особенно тем, которые побуждают выполнять некие действия здесь и сейчас, иначе случится что-то плохое.

Gmail — документы


Письмо отправлено с gmail адреса и сообщает о неких документах. В деловой переписке, особенно при большом потоке писем легко кликнуть на документ, попав на фишинговую страницу:

b211115 2
Хотя адрес «документов» ведет на neo4-yandex.ru, тем не менее с этого домена происходит редирект на:
(в коде страницы установлен сниффер, который логгирует все заходы на страницу — <img height=0 width=0 src="http://xvxvxvxvxvx.ru/image.php?img="> )
s-mail-google.com/myaccount/ru/index.php?id=&/id=20154748705121097

b211115 3
Обратите внимание на старый логотип Google на фишинговой странице — многие ли из вас отметили, что он старый? А много ли пользователей помнят или знают о том, что у Google уже новый лого? Скорее всего, форма была сделана с помощью инструмента Social-Engineer Toolkit, в нем этот логотип не обновлен. А может злоумышленники просто не обращают на это никакого внимания и не обновляют свои поделки.

Gmail — недоставленное сообщение


Приходит письмо, о том, что некоторые письма не были доставлены. А если что-то важное потерялось? 

b211115 4
Многие люди по природе мнительны, поэтому клик по ссылке, а там уже известный редирект на: s-mail-google.com/myaccount/ru/index.php?id=&/id=20154748705121097

Gmail — срочно сменить пароль


Пользователь, какие-то нехорошие личности взломали твой пароль! 

b211115 5
Обычные пользователи, скорее всего, пойдут менять пароль, только вот адрес для смены совершенно неподходящий: google.mail.com.ru-id322322.ru/548589203339099000020039939/o/p/l/?id376=YWtzZWthdHlhQGdtYWlsLmNvbXxha3Nla2F0eWE=

Gmail — ваша почта будет заблокирована


Вы сделали что-то неправильно (ведь рядовые пользователи «не разбираются в компьютерах»), теперь надо все исправить, иначе удалят ящик:

b211115 6
Что тут у нас? Опять старый логотип, но есть и кое-что новое — в URL передается адрес атакуемого ящика, для большей достоверности. Пользователь переходит по ссылке вида: //w-google.com/account_c/mailer/0/u/16281666201206/?email=Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.&;fail=1&cGRmJmhsPV3N0BJmhsPXJnbWFpbC5j1VyJmFjdb20mbGV0EVyucGRmJmhsPVyPXZ5cGlza2EucGRdVyGmJmhsPXJ1JmFjdD1%27" style="margin: 0px; padding: 0px; border: 0px; font-size: 14px; vertical-align: baseline; outline: 0px; color: rgb(153, 0, 153); text-decoration: none; font-family: Verdana, sans-serif; font-weight: normal; line-height: 22.4px;">w-google.com/account_c/mailer/0/u/16281666201206/?email=Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.&fail=1&cGRmJmhsPV3N0BJmhsPXJnbWFpbC5j1VyJmFjdb20mbGV0EVyucGRmJmhsPVyPXZ5cGlza2EucGRdVyGmJmhsPXJ1JmFjdD1%27и попадает на «персональную страничку»:


Gmail — спам


Вы рассылали спам, теперь Вы не можете отправлять письма. Необходимо подтвердить аккаунт:

b211115 7
Опять старый логотип. Вектор вроде новый, но ведет, опять же на уже известную нам страничку: s-mail-google.com/u/0/accounts/index.php?id=&/id=d7115e86e7423e7aea202cebf544de21

Gmail — черный список


Вы добавлены в черный список, шутки кончились. Срочно подтвердите что вы не бот-программа:

b211115 8
По ссылке уже известный адрес: google.mail.com.ru-id322322.ru/?login=YWtzZWthdHlhfGFrc2VrYXR5YUBnbWFpbC5jb20=

Gmail — пора увеличить объем


Почтовый ящик почти заполнен, необходимо увеличить его объем. Надо, так надо:

b211115 9
Вот это письмо мне понравилось. Я ожидал стандартную форму логина, но нет, злоумышленники пошли другим путем. Такое внимание к деталям: указан логин жертвы, ссылка «изменить» неактивна, но самое интересное дальше: account-google.ru.com/ServicesLogin/settings/?account=privethabr&?service=mail&passive=true&rm=false&continue=https://mail.google.com/mail/

b211115 10
Указан логин жертвы, интерфейс явно гугловый, даже видно что место и правда кончилось. Да и домен подобран очень в тему. Но вот логотип опять старый. В общем, это пока явный фаворит фишингостроения.

Gmail — рабочие моменты


Способ сомнительный для рядовых пользователей, письмо с какой-то заявкой или реквизитами:

b211115 11
b211115 12
Ссылка редиректит на домен account-google.ru.com/ServicesLogin/files/?account=privethabr&?service=mail&passive=true&rm=false&continue=https://mail.google.com/mail/&ss=1&scc=1<mpl=default<mplcache=2&emr=1

b211115 14
Первая форма, на которой стоит новый логотип.

Mail.ru — рабочие моменты


Похож на способ указанный выше, прислали какие-то документы, вариаций может быть довольно много:

b211115 15
b211115 16
b211115 17
Клик по ссылке и пользователю предлагают ввести пароль. Т.к. логин уже подставлен — большинство рядовых пользователей введет свой пароль «на автомате»:

b211115 18

Mail.ru — сообщение не доставлено


Вам не пришло важное письмо, но наш сервис уведомил Вас об этом, включая какие-то непонятные заголовки сообщения для пущей достоверности:

b211115 19
А там уже знакомая нам форма:

b211115 20

Mail.ru — увеличить объем ящика


Еще один лидер моего хит-парада правдоподобности:

b211115 21
При переходе попадаем на форму увеличения объема ящика:

b211115 22Еще один тип такого письма:

b211115 23
По ссылке видим форму:

b211115 24
Похож на способ указанный выше, но фишинговый домен уже не работает:

b211115 25
Ссылка не работает: //cew-mail.ru/mailcapacity/index.php?email=Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.&;fail=0&GPXZJmV5cWVzEuccGRmyPXZWVzc2FnZScPXZJmV5cEyMTQ0MDAwuccWVzGRmyWVzPXZGRmyPXZWVzc2FnZS8xMzY0MTEMDAwMWVzDU4NS8" style="margin: 0px; padding: 0px; border: 0px; font-size: 14px; vertical-align: baseline; outline: 0px; color: rgb(153, 0, 153); text-decoration: none; font-family: Verdana, sans-serif; font-weight: normal; line-height: 22.4px;">cew-mail.ru/mailcapacity/index.php?email=Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.&fail=0&GPXZJmV5cWVzEuccGRmyPXZWVzc2FnZScPXZJmV5cEyMTQ0MDAwuccWVzGRmyWVzPXZGRmyPXZWVzc2FnZS8xMzY0MTEMDAwMWVzDU4NS8

Mail.ru — уведомление о безопасности


Вашу почту кто-то взломал, срочно бегите менять пароль:

b211115 26Фишинговая ссылка редиректит на //pechatay-prosto.ru/js/?Login=Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра." style="margin: 0px; padding: 0px; border: 0px; font-size: 14px; vertical-align: baseline; outline: 0px; color: rgb(153, 0, 153); text-decoration: none; font-family: Verdana, sans-serif; font-weight: normal; line-height: 22.4px;">pechatay-prosto.ru/js/?Login=Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. (уже не работает).

Yandex — уведомление о безопасности


Не подтвердите аккаунт — заблокируем почту:

b211115 27
По ссылке форма, с уже подставленным именем учетной записи:

b211115 28

Yandex — реактивация почтового ящика


Опять необходимо выполнить какие-то действия:

b211115 29
Добавлено много «правдоподобных» деталей:

b211115 30

Рассылка вредоносных файлов/криптолокеров


Пользуясь текущей экономической обстановкой и страхами людей злоумышленники рассылают письма, имитирующие уведомления от платежных систем и органов судебной или исполнительной власти:

Письмо, содержащее инструкции для «подтверждения» доменного имени от Роскомнадзора (на самом деле пользователь установит на свой сайт шелл):

b211115 31
Письмо из арбитражного суда, содержащее ссылку на криптолокер:

b211115 32
Письмо из Сбербанка о выданном кредите (со ссылкой на криптолокер):
b211115 33

Правила безопасности

 

  1. Письмо, побуждающее Вас к каким-то немедленным действиям должно Вас насторожить: проверьте от кого оно пришло, домен и ссылку. Если сомневаетесь — спросите специалистов.
  2. Если Вам что-то навязывают или присылают то, к чему Вы не имеете отношения — лучше удалить это письмо.
  3. Не переходите по подозрительным ссылкам в письме, даже если они пришли в сообщениях от ваших знакомых или с каких-то официальных адресов.
  4. Письма от судебных инстанций или органов: не поленитесь, найдите телефон этого ведомства и позвоните. Просто так никто судебные решения или уведомления о просроченных кредитах не высылает. Да и в 99% случаев Вы получите уведомление по обычной почте.
  5. Используйте двухфакторную авторизацию: большинство почтовых сервисов в настоящее время поддерживает эту технологию.


Эта статья посвящена атаке на рядовых пользователей, в следующей статье я расскажу о фишинговых и социотехнических атаках на корпоративный сектор.

Прочитано 409 раз

Последнее изменение Понедельник, 23/11/2015

Оставить комментарий

Убедитесь, что Вы ввели всю требуемую информацию, в поля, помеченные звёздочкой (*). HTML код не допустим.

ПОСЛЕДНИЕ КОММЕНТАРИИ

marschrut

Погода
Погода в Житомире

влажность:

давление:

ветер:

ТУРИЗМ

Loading...

Go to top