Neue Phishing-Welle mit gefälschten E-Mails

Momentan scheint es viele Phishing-Angriffe zu geben. Cyber-Banditen versuchen verstärkt, Daten von goneo-Kunden zu erbeuten. So verzeichnen wir eine erhöhte Anzahl an Kundenanfragen, die sich auf eingegangene E-Mails beziehen. Mails, die vorgeblich goneo hat, um auf ein (in Wahrheit nicht vorhandenes) Problem mit dem Kundenkonto hinzuweisen.

Dadurch sind wir darauf aufmerksam geworden, dass sehr viele E-Mail gleichlautenden Inhalts recht zielgerichtet an goneo-Kunden versendet wird.

Der Empfänger bzw. die Empfängerin wird aufgefordert, auf einen Link zu klicken.

Der Link führt auf eine Website, die einer echten goneo-Website nachempfunden ist. Die aktuelle Welle ist mit früheren Angriffen vergleichbar.

Der Link wird über einige Weiterleitungen und Verkürzer-Dienste auf folgende Zieladresse geschickt:

iemstracking.com/click.php?IE=w2ff6ep7uwlba4yv17nt&mailer={mailer}&client={client} 

Dies ist auch wieder eine Weiterleitung und die URL der Zielseite ist in diesem Fall :

kundencenter.goneo.de.nablanews.it/sdhadgsakbdasdasdsada/log.html

Auf diesem offenbar kompromittierten Server unter einer italienischen Domain (nablanes.it). Bitte die Seite nicht aufrufen, wir haben den Betreiber um Blockierung gebeten. Zudem haben wir auch Kontakt mit der betreuenden Organisation der absendenden E-Mailadresse aufgenommen, um möglicherweise Hinweise auf die Täter zu bekommen. Sollten sich belastbare Hinweise ergeben, werden wir den Versuch auch anzeigen.

Wie kommen die Spamversender an die E-Mail-Adresse des Seitenbetreibers?

Nach unseren Recherchen gehen Spammer und Phisher so vor: In besonderen Bereichen des Internets, die für Kriminelle interessant sind, sind terabyteweise E-Mailadresse verfügbar. Als Krimineller besorgt man sich solche E-Mail-Listen. Jede E-Mail-Adresse besteht aus zwei Teilen. Für kriminelle Zwecke dieser Art ist der Teil nach dem „@“-Zeichen interessant, um herauszufinden, bei welchem Provider diese E-Mail-Adresse zuhause ist. Dies lässt sich recht einfach über die öffentlich verfügbaren Mailserverangaben herausfinden.

Findet mal also so heraus, dass eine E-Mail-Adresse bei goneo betrieben wird, kann man davon ausgehen, dass der Nutzer Kunde dort ist. Damit kennt er die Weboberflächen für Administration und Abrechnung, Logos und das Wording sowie das Look & Feel der Website.

Nun baut der Phisher die Eingabemaske, also die Login-Seite, z.B. für das Kundencenter nach. Gerne versuchen Kriminelle das auch mit Webmail-Login-Seiten gemacht.

Nun muss der Phisher noch versuchen, an die entsprechende E-Mail-Adresse eine nachempfundene E-Mail zu schicken, die beim Empfänger einen mehr oder weniger großen Schreck auslöst. Diese Mail muss täuschen, sie muss echt aussehen und plausibel wirken. Beliebte Inhalte und Coverstories sind hier, dass das Konto gesperrt ist. Nun müsse man sich ganz schnell anmelden, um ein irgendwie geartetes Problem wieder in Ordnung zu bringen.

Im Regelfall sind Userinnen und User nach so einer „Schreckensmail“ darauf erpicht, das Problem zu untersuchen und lassen Vorsichtmaßnahmen und Bedenken in den Hintergrund treten. Die Mechanismen lassen sich ein wenig mit dem allseits beliebten Enkeltrick oder dem mit den falschen Polizisten vergleichen. Ohne in der Situation zu sein, fällt es schwer sich vorzustellen, dass man so naiv sein kann und seine Zugangsdaten offenbart. In der kriminellen Praxis funktioniert dies aber sehr gut.

Ähnliche Phishing-Attacken auf Kunden erleben Sparkassen und Banken täglich. Hier versuchen Kriminelle, über die Webapps mit den Banking-Funktionen auf Girokonten zuzugreifen. Vor Phishing warnen Verbraucherschützer regelmäßig.

Tipps, um sich vor Phishing zu schützen

• Wenn man sich dem Umstand, der in der Mail beschrieben ist, in keinster Weise bewusst ist, sollten Alarmglocken angehen.
• Eventuell ist von einer Sperrung die Rede und Angelegenheit klingt furchtbar dringend ohne dass es vorher einen Hinweis gab. Auch das sollte Bedenken auslösen.
• Der Absender der E-Mail ist irgendeine E-Mail-Adresse, die man nicht kennt. Um Spam-Mails erfolgreich und anonym zu versenden, müssen Cyber-Banditen einen kompromittierten Mailserver oder ein Postfach nutzen, für das sie sich Zugang erschlichen oder „erhackt“ haben. Einen Teil der Absenderangaben kann man beliebig fälschen, den sogenannten friendly-from-Eintrag. Der eigentliche Absender, d.h. die Mailadresse, wird aber in der Mail mitgeschickt. Wenn die echte Adresse und die Angabe der Adresse nicht übereinstimmen.
• Irgendwann passiert es jedem und man gibt seine Zugangsdaten preis. Sobald man dies feststellt, sollte man sofort die Zugangsdaten ändern.
• Der Schutz durch einen zweiten Faktor ist hilfreich. Auch das goneo-Kundencenter lässt sich so besser absichern.
• Es lohnt sich durchaus, den Phishingversuch zu melden. Das bewahrt andere vor Schaden bewahrt und der Phisher ärgert sich ein wenig, weil seine Spamwelle etwas ineffizienter ist.

BSI warnt ebenfalls

Auch das Bundesamt für Sicherheit in der Informationstechnik warnt vor Phishing und gibt zudem auch Hinweise, wie man Phishingversuche erkennen kann, insbesondere beschrieben anhand von Angriffen auf Bankkunden.

Ein wichtiger Schlüssel, um den Empfänger bzw. die Empfängerin einer E-Mail zu täuschen ist, den Absender der Mail zu fälschen. Leider gibt es viele Wege dies zu bewerkstelligen. Wer sich tiefer damit beschäftigen will, dem sei eine Präsentation (PDF) empfohlen, die während der Cybersicherheitskonferenz Blackhat com 2020 in den USA gezeigt worden ist. Jianjun Chen, Postdoc Researcher am International Computer Science Institute, Vern Paxson, Professor am UC Berkeley und Mitgründer von Corelight sowie Jian Jiang, Senior Director of Engineering bei Shape Security haben seinerzeit zehn große Mailservices und neunzehn Mailclients untersucht. Die Forscher haben achtzehn verschiedene Möglichkeiten gefunden, den wahren E-Mailabsender zu verbergen und dem User/der Userin einen anderen vorzugaukeln.