Arhiva tag-ul pentru: analiza

Din culisele unui atac de phishing bancar: ce date cere pagina falsă și ce face atacatorul cu ele

Analiză publicată în martie 2021.

O pagină de phishing bancar nu se oprește la datele cardului. Cea analizată aici cerea, pe rând, adresa și parola de e-mail, datele personale complete, datele cardului (inclusiv CVV și PIN) și înregistra adresa IP, browserul și ora accesului. Cu acest pachet, atacatorul poate goli contul, poate vinde datele, se poate da drept victimă în fața băncii sau a operatorului de telefonie și poate prelua chiar numărul de telefon.

Pe scurt

  • Pregătirea unui atac de phishing nu este dificilă: generatoare de pagini false, domenii asemănătoare, liste de adrese cumpărate.
  • Nicio bancă nu are nevoie de parola adresei tale de e-mail.
  • IP-ul, browserul și ora accesului îl ajută pe atacator să imite victima la tranzacții.
  • Datele personale permit înșelarea funcționarilor și atacuri de tip SIM swapping.
  • Educația este ceea ce înclină balanța.

Cum se pregătește un atac de phishing

Phishingul a devenit o armă folosită atât de hackeri, cât și de persoane fără cunoștințe tehnice avansate:

  1. atacatorul alege zona: rețele sociale, bănci sau o țintă anume (instituție, companie);
  2. creează pagina falsă manual sau cu un generator automat;
  3. cumpără un domeniu asemănător cu cel pe care îl imită;
  4. trimite mesaje grupului țintă sau unei liste de adrese cumpărate;
  5. colectează datele introduse de victime.

Ce date cere pagina falsă și ce face atacatorul cu ele

Pagina de phishing bancar analizată, captură din analiza ProDefence

Adresa și parola de e-mail

Adresa de e-mail poate fi cerută în mod normal, dar parola nu. Banca trimite pe e-mail informații și documente, fără să aibă nevoie de acces la cont. Cu parola, atacatorul citește mesajele, folosește adresa pentru alte fraude și încearcă aceleași date pe alte platforme.

Adresa IP, browserul, data și ora

Adresa IP oferă informații despre infrastructură, dar ajută și la tranzacțiile frauduloase: atacatorul folosește o adresă cât mai apropiată de a victimei. Browserul este imitat la fel. Data și ora dau credibilitate unui apel ulterior: „Bună ziua, sunt X de la bancă. Am văzut că la ora… ați accesat sistemul de verificare…”.

Pagina de phishing bancar analizată, captură din analiza ProDefence

Datele personale

Nume, data nașterii, adresă, cod poștal, telefon, cod numeric personal. Pot fi folosite pentru continuarea atacului, dar și pentru înșelarea unui funcționar bancar sau public. Tot ele permit furtul numărului de telefon prin SIM swapping: un angajat al operatorului este convins să mute numărul pe o cartelă nouă, iar atacatorul primește codurile de autentificare.

Pagina de phishing bancar analizată, captură din analiza ProDefence

Datele cardului

Număr card, dată de expirare, CVV, PIN și numele mamei. Atacatorul are două variante:

  • vânzarea datelor, frecventă la cei care adună multe carduri și nu vor să extragă singuri banii;
  • tranzacții online, în limitele stabilite de bancă: cumpărături, depuneri pe platforme de jocuri, „donații”, folosind IP-ul și browserul care imită victima.

Concluzie

Băncile, platformele sociale și instituțiile au sisteme de securitate, proceduri și specialiști. Dar când atacatorul joacă atât de bine rolul victimei, șansele lui cresc. Noi suntem cei care putem înclina balanța: prin educație, trecem din categoria victimelor posibile în cea a utilizatorilor informați. Nu trebuie să devenim victime ca să conștientizăm pericolul.

Un caz mai recent, cu ocolirea autentificării în doi pași, este analizat în Phishingul bancar și ocolirea 2FA. ProDefence oferă analiza fraudelor electronice și cursuri de educație cibernetică.

Atacul Emotet asupra CV19 România: analiza unei „facturi” malițioase

Analiză publicată în noiembrie 2020. Continuarea completă a fost publicată pe site-ul CV19 România.

Pe 14 octombrie 2020, la șase zile după sesiunea despre securitatea cibernetică a spitalelor organizată de CERT-RO împreună cu grupul Cyber Volunteers 19, adresa [email protected] a primit un e-mail cu o „factură” pentru un contract inexistent. Documentul Word cerea activarea conținutului, iar macro-ul ascuns lansa PowerShell, care descărca malware-ul Emotet și, în etapa următoare, Trickbot, oferind atacatorului control complet asupra calculatorului.

Pe scurt

  • Primul semnal: o factură emisă în baza unui contract care nu exista.
  • Documentul cerea „actualizări” și activarea editării, deși un document normal doar se deschide.
  • 40 din 62 de motoare antivirus au marcat fișierul ca malițios.
  • Lanțul de execuție: Word, macro, PowerShell, descărcarea etapei a doua de pe șapte domenii.
  • Comenzile erau ascunse prin codare Base64.
Atacul Emotet asupra CV19 România, captură din analiza ProDefence

Primul semnal de alarmă

Textul mesajului se referea la o factură emisă în baza unui contract inexistent. S-a declanșat imediat procedura de răspuns la incidente și a început investigația.

Ce vede victima la deschiderea „facturii”

La deschidere, documentul afișa un presupus mesaj de actualizare: anumite aplicații, inclusiv Microsoft Word, „au nevoie de update”, iar utilizatorul era îndemnat să permită editarea. Un document normal s-ar fi deschis și atât. Textul din fișier era scris foarte mic și, mărit, se dovedea generat automat, fără logică.

Atacul Emotet asupra CV19 România, captură din analiza ProDefence

Verificarea pe platformele de detecție

Înainte de a urma indicațiile expeditorului, fișierul a fost verificat pe o platformă de detecție a programelor malițioase: 40 de detecții din 62 și două etichete, „doc” și „executes-dropped-file”, adică un document Word care execută un fișier.

Atacul Emotet asupra CV19 România, captură din analiza ProDefence
https://www.virustotal.com/gui/file/2a4501a9c916de2614ab790c698688048ac5c327c03fdb1910509f81f0f8b9ad/detection

Lanțul de execuție

  1. se deschide Microsoft Word;
  2. la activarea conținutului rulează un macro;
  3. macro-ul lansează PowerShell;
  4. PowerShell se conectează la mai multe site-uri și descarcă etapa a doua;
  5. etapa a doua oferă atacatorului control total asupra stației de lucru.
Atacul Emotet asupra CV19 România, captură din analiza ProDefence
Atacul Emotet asupra CV19 România, captură din analiza ProDefence

Analiza fișierului

Deschis cu un editor, fișierul nu arată mare lucru. Extrase separat, secțiunile de macro și PowerShell conțin un șir lung codat în Base64, o metodă care permite transmiterea caracterelor speciale indiferent de protocol.

Atacul Emotet asupra CV19 România, captură din analiza ProDefence
Atacul Emotet asupra CV19 România, captură din analiza ProDefence

Decodat, șirul devine o serie de comenzi PowerShell care descarcă etapa a doua de pe mai multe site-uri. Aici apare Trickbot, malware-ul vizat de acțiunea Microsoft din acea perioadă.

Atacul Emotet asupra CV19 România, captură din analiza ProDefence

Indicatori de compromitere

Primii indicatori de compromitere sunt cele șapte domenii care găzduiau, conștient sau nu, etapa a doua a atacului. Lista completă și restul analizei sunt pe CV19 România: Atac Emotet asupra CV19.

Ce rămâne valabil azi

  • Microsoft blochează astăzi implicit macro-urile din fișierele descărcate de pe internet, dar atacatorii au trecut la alte formate (.iso, .lnk, .one);
  • orice document care cere „activarea conținutului” trebuie tratat ca suspect;
  • o factură pentru un contract inexistent este un semnal suficient pentru a nu deschide atașamentul.

Vedeți și Ce este un malware. Pentru analiza unui atașament suspect, ProDefence oferă analiza fișierelor suspecte și a programelor malițioase.

IP-uri din România în rețeaua Emotet: cum se răspândește un virus

Articol publicat în august 2020.

Infrastructura troianului Emotet includea, în 2020, și adrese IP din România: servere și dispozitive compromise, folosite pentru răspândirea virusului și pentru comunicarea cu panoul de comandă al atacatorilor. Infecția pornea de cele mai multe ori de la un simplu document Word primit pe e-mail.

Pe scurt

  • Un document Word infectat descarcă, în câteva minute, alte componente malițioase.
  • Acestea se conectează la o rețea de adrese IP și domenii controlate de atacatori.
  • Odată stabilită legătura, atacatorul poate fura date sau poate folosi calculatorul în alte atacuri.
  • Victimele sunt de două feluri: utilizatorul care deschide atașamentul și dispozitivul compromis care devine parte din rețea.
Adrese IP din România în infrastructura Emotet, captură din analiza ProDefence

Cum se răspândește

România, aflată în plină dezvoltare tehnologică, se confruntă zilnic cu astfel de situații, unele controlabile, altele greu accesibile chiar și pentru administratorii de găzduire, rețea sau furnizorii de internet. Dispozitivele conectate la internet sunt exploatate de atacatori și integrate în sistemele lor de răspândire și control.

Un document Word declanșează activități ascunse în calculator, inclusiv descărcarea neautorizată a altor fișiere. Acestea se conectează la o serie de adrese IP și domenii pentru a stabili legătura cu panoul de comandă. Din acel moment, atacatorul poate trimite orice comandă: de la furtul de date la atacuri asupra altor sisteme. Totul, în câteva minute.

Lanțul de infectare Emotet, captură din analiza ProDefence

Două tipuri de victime

  1. Utilizatorul care primește un e-mail infectat. Cu un minim de cunoștințe, ignoră mesajul sau îl trimite unui specialist dacă pare important, dar suspect. Dacă deschide atașamentul, urmează lanțul de mai sus.
  2. Dispozitivul compromis: server, router, cameră de supraveghere, televizor, consolă, calculator, telefon, tabletă, bec sau încuietoare smart. Practic, orice dispozitiv conectat la internet.

Ce se poate face

Rezolvarea este complexă și depinde de mulți factori, dar un minim de educație, sfatul unui specialist și deschiderea spre a cere ajutor reduc mult impactul. Atenție la detalii.

Rețeaua Emotet a fost destructurată în ianuarie 2021 printr-o operațiune internațională coordonată de Europol, dar a revenit ulterior în alte forme. Vedeți și analiza atacului Emotet asupra CV19 România și Emotet pe domenii din România.

BadPower: atacul care îți poate „prăji” telefonul prin încărcător

Articol publicat în august 2020, pe baza declarațiilor lui Alexandru Angheluș pentru Mediafax.

BadPower este un tip de atac descoperit în 2020 de cercetătorii Tencent Xuanwu Lab, prin care firmware-ul unui încărcător rapid („fast charge”) poate fi modificat astfel încât să trimită o tensiune mai mare decât suportă dispozitivul. Rezultatul poate fi supraîncălzirea, deteriorarea componentelor sau chiar arderea telefonului.

Pe scurt

  • Încărcătoarele rapide negociază tensiunea cu telefonul prin propriul firmware.
  • Un atacator poate rescrie acest firmware, direct sau printr-un telefon compromis conectat la încărcător.
  • În testele cercetătorilor, cel puțin 18 modele de încărcătoare erau vulnerabile.
  • Recomandarea principală: atenție la stațiile publice de încărcare și la încărcătoarele împrumutate.

Videoclip

Cum funcționează

Încărcătoarele obișnuite oferă o tensiune fixă. Cele rapide comunică cu telefonul și cresc tensiunea doar dacă dispozitivul o suportă. Logica acestei negocieri stă în firmware-ul încărcătorului. Dacă firmware-ul poate fi rescris, încărcătorul poate fi făcut să livreze o tensiune excesivă oricărui dispozitiv conectat, inclusiv unuia care nu suportă încărcarea rapidă.

De ce este periculos

Atacul nu fură date, ci produce pagube fizice. Un încărcător modificat într-un spațiu public poate deteriora pe rând telefoanele tuturor celor care îl folosesc.

Cum te protejezi

  • evită stațiile publice de încărcare sau folosește propria priză și propriul încărcător;
  • nu împrumuta încărcătorul unor persoane necunoscute și nu folosi încărcătoare găsite;
  • cumpără încărcătoare de la producători cunoscuți, care oferă actualizări de firmware;
  • o baterie externă proprie este o alternativă mai sigură în călătorii.

Articolul complet: Atenție la BadPower, virusul care îți „prăjește” telefonul (Mediafax).

Phishing Poșta Română: pagină falsă de plată

Pentru astăzi, avem un domain ce pare suspect: posta-romana-ro.info
Suspiciunea orcărui utilizator trebuie sa intervină atunci când adresa este asemănătoare cu ceva, în cazul de față Poșta Romana.
În cazul în care avem de făcut plăți… ar trebui să fim puțin mai atenți!

Ok. Am primit un email în care se specifică faptul că trebuie să plătim ceva către Poșta Română!

Hai să analizăm împreună email-ul primit!
1. Aștepți vreun colet? Dacă DA, mergi mai departe, dacă NU… nu are sens să apeși pe ceva..
2. dragă client – Nu există! Un email către un client ce există în baza de date începe cu … ex. Dragă Alexandru / Domnule Angheluș etc.
3. taxe vamale(28.80 LEI). Urmează instrucțiunile: – Aș putea spunne că arată suspicios; suma între paranteze și un sec ”Urmează instr…”
4. Istorie – A cui istorie?
5. PASUL 1 : PLATA CHELTUIE… ”NOULU ATENȚIV” – Ok! Pentru un email generat automat… arată chiar tragic!
6. PASUL 2 …. Nu există!
7. IMPORTATE: 1,60 € – a) Nu înțeleg ce este ”importat”, b) Plata era în LEI, ce treabă are euro în poveste?
8. Click aici – Dacă era ”Apasă aici” poate prindea mai bine!
9. Dacă scrisoarea recomandată – Care scrisoare?!? Până acum am discutat despre un pachet, 28.80 LEI și 1,60 €…. hmmm
10. țineți suma de 1,60 EUR pe casă în ziua conformitații – € s-a transformat în EUR, ”pe casă” este greu de ținut EUR, de ziua Indepentenței am auzit… dar de cea a Conformității încă nu!
11. Puteți atașa informații ….pentru a o pastra în cel mai apropiat birou – Care scrisoare? … De ce în cel mai apropiat birou și nu în altă parte?

OK… pare suspect!
Dar hai să ”Click aici”!

Să începem analizarea paginii la care ne-a direcționat link-ul din spatele ”Click aici”.
1. Adresa este posta-romana-ro.info – De ce .info și nu .ro?!? Pentru a fi siguri, hai să căutăm pe Google!

OK. Se pare că adresa oficiala este posta-romana.ro, deci acel .info este dovada că se încearcă o inducere în eroare!

2. ”/……./……/servicii-expeditori/carti-ziare-reviste/in-romania/imprimate-interne/b5136/”
Acestea sunt foldere ce duc la un sistem de plată? NU PREA!

3. Avem steagul Americii, ok! Am mai găsit cazuri în care pagini oficiale din Romania erau gazduite pe servere din afara tării, dar unul ca Poșta Româna să fie încă acolo… mai greu!

După cum se vede, pagina este găzduită pe server de America.
Dar am cautat și pe Whois informații despre domain: Creat la data de 03.08.2020!
Interesant! Deci ”Poșta Română” foloseste un domain proaspăt creat ….

4. În partea de jos apare adresa reala, deoarece a copiat codul sursă a paginii oficiale!

Facem o ”plată”?

La adăugarea cardului, se pare că are un script ce verifică valabilitatea combinației de cifre.
De asemenea se poate vedea că suma de 28.80 a devenit ”amount: 2880”!
Am apăsat ”Pay online” și în trafic ne apare ca datele noastre au fost POSTate prin intermediul fisierului cc.php.
…dar iată și un email care nu este al nostru..
..oare acolo au plecat datele noastre?
Se pare că ne cere și parola primită prin SMS pentru confirmarea plații.
Această parolă este trimisă de către bancă, pentru a confirma ca plata este făcută de deținătorul cardului.
Apariția confirmării pe aceiași pagină, denotă că nu se face vreo plată. La plăți reale, clientul este redirecționat către pagina băncii, confirmă tranzacția, după care este trimis la pagina inițială.
Indiferent de câte ori vei introduce un cod, pagina va arăta că mai ai 2 încercări!

Putem spune cu siguranță că este o pagină falsă, creată pentru a fura datele cardurilor de bancă!

În ceea ce privește adresa de email găsită, are legătură cu China… de aceea și greșelile în scriere!

Poate că la prima vedere pare mult, dar atunci când este vorba despre plăți sau date personale, nu strică să fim puțin mai atenți la aceste detalii!!!

Sari la conținut