Hallo,
nach einer gewissen Ruhephase scheint jetzt Phishing wieder aufzukommen. Zumindest gibt es mehrere neue Posts im Forum.
Was ist eigentlich Phishing?
Es handelt sich hier um ein Kunstwort, bestehend aus den Wörtern "Passwort" und "fishing". Zusammen ergibt es das Fischen nach Passwörtern.
Passwörter sind nicht das alleinige Ziel der Bösewichte, es geht allgemein um das Erlangen von Informationen wie eben dieser Passwörter, aber auch Kreditkartendaten, Kontodaten, Telefonnummer, ... Damit gehört das Phishing in die Kategorie des Social Engineerings.
Wie kann man so eine Phishingmail erkennen?
Früher war das recht einfach - jede Menge Tippfehler, mangelhafte Grammatik, Probleme mit den deutschen Umlauten und Probleme mit dem korrekten Satzaufbau. Aber diese Zeiten sind vorbei. Inzwischen ist der Text so einer Mail nicht mehr auffällig. Also müssen andere Erkennungsfaktoren ins Spiel kommen.
- Mail von einer Bank und ich habe gar dort kein Konto? Nun, damit ist der Fall schnell vom Tisch. Bin ich doch Kunde, dann
- werden persönliche Daten wie PIN angefragt? Dann ist da auch etwas faul, denn so etwas würde eine Bank nicht machen. Ist das nicht der Fall, dann kommt gerne
- Androhung von Konsequenzen wie Sperrung des Kontos, wenn man nicht innerhalb von 24 Stunden sein Konto bestätigt. I.d.R. sind die Konsequenzen überzogen und der Zeitraum sehr kurz gewählt. Klar, es soll ja auch ein Szenario der Angst aufgebaut werden, da Angst das logische Denken beeinträchtigt.
Eine Mail hat einen Absender, welcher allerdings gefälscht werden kann. Viele Bösewichte machen sich diese Mühe nicht mal und so reicht es mit der Maus auf dem Absender zu parken, um auf einem Blick zu sehen, dass da etwas nicht stimmt (siehe Screenshot).
Auch kann ich mit der rechten Maustaste auf die aufgeforderte Schaltfläche klicken und die Adresse des Links kopieren und in einem Editor einfügen. Nun kann ich den Link in Ruhe anschauen und finde ht tps://deref-web.de/mail/client/WWcYD-OvKuI/dereferrer/?redirectUrl=htt ps%3A%2F%2Ft.co%2FtS...
Interessant ist der Part nach dem redirect: ht tps%3A%2F%2Ft.co%2FtS.. Jetzt muss ich die URL noch decodieren. Aus %3A wird der Doppelpunkt und aus %2F wird der Slash. Damit ergibt sich ht tps://t.co/tS... . Von dort gibt es eine Weiterleitung zu ht tps://newsauthusersignenjividotpepeidsinfoupdteaccnts.work.gd. Und das ist mit Sicherheit nicht PayPal.
Die Codierung/Decodierung ist hier zu finden: https://www.w3schools.com/tags/ref_urlencode.ASP.
____________________________
Ab hier wird es etwas technischer.
ein weiteres sehr gutes Mittel ist die Anzeige der Mail als Text mit den kompletten Kopfzeilen. Ein sehr nettes Tool dafür ist z.B. MailCheck 2 (https://www.d-jan.de/mailcheck.shtml). Ein Tool, welches in der Taskleiste liegt und in periodischen Zeitabständen alle Mailserver nach neuen Mails checkt und mich darüber informiert. Aber auch für Spam und Phishing ein sehr dienliches Tool.
Hier ein kleiner Auszug:
[...]
Received: from mail-oa1-f100.google. com ([209.85.160.100]) by mx-ha.web. de
(mxweb006 [212.227.15.17]) with ESMTPS (Nemesis) id 1MoMRA-1qW2Pq2o00-00oruR
for <max.muster@web. de>; Tue, 16 May 2023 10:46:10 +0200
Received: by mail-oa1-f100.google. com with SMTP id 586e51a60fabf-1967cd396a1so4207157fac.0
for <max.muster@web. de>; Tue, 16 May 2023 01:46:10 -0700 (PDT)
Received: from srv-7557.gmail. com (ec2-18-212-49-233.compute-1.amazonaws. com. [18.212.49.233])
by smtp-relay.gmail.com with ESMTPS id a5-20020a870b14500b00196693a6m1006806oal.29.2023.05.16.01.46.09
for <max.muster@web. de>
(version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256);
Tue, 16 May 2023 01:46:09 -0700 (PDT)
[...]
From: =?UTF-8?B?zqFhec6hYWw=?= <Lmw184Kd1kIyqcQ-3ZqKtP3nFlkna5cd@ymnTrLvH-52933956. club>
[...]
Message-ID: <VUk21LLPtVN8C3n7bGmW9jknsrDT9AQ4u6PU@srv-7557. gmail.com>
Message-ID: <jcV2a.vzQY481DZHSRYRyhk@ 87.newsletter.schiesser. com>
[...]
In-Reply-To: <fWMflKXXvu9t1Hb16Rgt@ WxKbjkF0F4hq9goC3w.>
[...]Was kann ich dort herauslesen?
Die wichtigste Information befindet sich in den Received-Zeilen. Die erste Received-Zeile ist i.d.R. korrekt, da es sich um meinen Mailserver handelt, welcher mir die Mail zustellt. Die anderen Received-Zeilen geben den Laufweg der Mail an. Damit ist klar, dass ich von unten anfangen muss zu lesen. Die letzte Received-Zeile ist der Beginn. Und hier beginnen die Probleme:
- Der Hostname des Absenders (ec2-18-212-49-233.compute-1.amazonaws. com) ist ungültig
- Der Absender (srv-7557.gmail. com) und der ermittelte Hostname vom Mailserver (ec2-18-212-49-233.compute-1.amazonaws. com.) sind unterschiedlich
Die Zeile From: =?UTF-8?B?zqFhec6hYWw=?= <Lmw184Kd1kIyqcQ-3ZqKtP3nFlkna5cd@ ymnTrLvH-52933956.club> ist der Absender. Hier muss noch umgewandelt werden.
Decodiert steht dort dann From: ΡayΡal <Lmw184Kd1kIyqcQ-3ZqKtP3nFlkna5cd@ ymnTrLvH-52933956.club>. Die meisten Mailoberflächen zeigen leider nur den Namen an. Schade, denn hier sieht man sehr deutlich, dass es sich nicht um eine PayPal-Mail handelt.
Message-ID enthält die eindeutige Kennung der Nachricht und kommt genau 1 Mal vor - hier aber 2 Mal, und dazu noch unterschiedlich.
In-Reply-To enthält die Message-ID der beantworteten Nachricht. Diese Mail ist aber keine Antwort auf eine andere Mail. Dieses Feld dürfte es folglich gar nicht geben.
Wie zu sehen, gibt es hier jede Menge Probleme. Wer das selber ausprobieren möchte und nicht wirklich in die Thematik einsteigen möchte, dem kann ich das Tool eToolz (https://www.gaijin.at/en/software/etoolz) ans Herz legen.
Wer nicht ganz so technisch vorgehen möchte, kann auch einfach zum Telefonhörer greifen und bei seiner Bank nachfragen.
CU
Anmerkung: Leerzeichen wurden hinzugefügt, damit keine funktionierenden Links im Phishingcode stehen
