Eilertsens Kodeknekkeri - Blogg

Lenkelureri

Harald Eilertsen — Wed, 14 Aug 2024 00:00:00 +0000

Svindelepost bruker mange triks for å lure deg til å oppgi informasjon som er nyttig for svindlerne. Som regel koker dette ned til betalingsinformasjon og kortdetaljer, slik at de kan svindle deg for penger.

Men før de kommer så langt må de klare å overbevise deg om å klikke på en lenke de har sendt deg. Til det kan de bruke mange forskjellige triks.

Ett av dem skrev jeg om i en tidligere artikkel</a>, nemlig å bytte ut bokstaver med tegn fra andre alfabeter som til forveksling ligner de som de erstatter. Et annet triks ser å bruke en lang nettaddresse som begynner med noe som ser legitimt ut.

Det var en variant av dette som dukket opp flere av honningfellene mine når jeg sjekket i dag tidlig:

hxxps://google[.]com@lihi[.]tv/…</code>

Her er det lett å la seg lure til å tro at dette er en lenke til en av de store overvåkningsbaserte reklamenettstedene, mens i virkeligheten lenker den til et helt annet sted.

Trikset ligger i @</code>-tegnet etter det som er den tilsynelatende nettadressen. Den virkelige nettadressen følger etter @</code>-tegnet. Det som er før regnes som et brukernavn.

En nettadresse kan nemlig inneholde mer enn bare navnet på tjeneren og banen til siden du vil besøke. Dersom det er et @</code>-tegn før selve tjenernavnet, vil det som er foran være brukernavn og evt passord for å få tilgang til nettsiden. I dette tilfellet er brukernavnet google[.]com</code>, mens nettstedet det lenkes til er lihi[.]tv</code>.

Noen epostprogrammer prøver å være hjelpsomme ved å skjule detaljene i lange nettadresser. Det gjør at det er enda enklere å falle for triks som dette. Dersom ditt epostprogram gjør dette vil jeg anbefale å sjekke innstillingene for å slå det av. Dersom det ikke er mulig så bytt epost program eller få leverandøren til å rette det opp.

Alltid insister på at hele nettaddresser, filnavn og annet skal vises. Å skjule slik informasjon kan være en sikkerhetsrisiko!


Epost autosvar ved ferie og reiser
Harald — Fri, 05 Jul 2024 00:00:00 +0000

  
  
  Lisens: CCO</a>.</p>
</figcaption>
  
</figure>
Det er ferietid og da er det mange som setter opp epostsystemene sine til å
sende automatiske svar til henvendelser som kommer inn. Det er båda praktisk og
lettvint, og kan gi den som prøver å ta kontakt nyttig informasjon om
alternative kontaktpunkter eller når en kan forventes tilbake.</p>
Men det gir også informasjon til mulige svindlere.</em></p>
Jo mer en svindler vet om din bedrift, jo større muligheter har hen til å
lykkes med en svindel rettet mot den. Automatiske epostsvar kan gi mer
informasjon enn man kanskje tenker over, og vi har sett eksempler på at det
blir brukt til å kartlegge, og til og med gjennomføre svindelforsøk mot
bedrifter.</p>
En teknikk jeg har sett brukt, er ganske enkelt å sende en tilsynelatende
uskyldig epost til så mange addresser man klarer å finne i bedriften. Selve
eposten og innholdet i den er i seg selv ikke viktig, men ved å se på hvem
man får automatiske svar fra, kan svindlerne få oversikt over hvem som er
på reise, og ofte også mer, som hvor de er, hvem de arbeider tett med, og
når de kan ventes tilbake.</p>
Dette kan være nyttig informasjon for en svindler som ønsker å ramme din
bedrift.</p>
Noen alternativer</h2>
Ett alternativ til autosvarmeldinger kan være å heller sette opp en midlertidig
videresending av epost til en kollega. Evt. en selektiv videresending basert på
avsender, emnefelt eller andre kriterier. F.eks. kan epost fra en kunde
videresendes til kollegaen mens meldinger fra HR eller lønnskontoret ikke blir
det.</p>
Et annet alternativ kan være å rett og slett gi en kollega direkte tilgang til
epostkontoen din. Det er en løsning jeg kun vil anbefale dersom du er 100%
sikker på at du ikke mottar noe personlig informasjon på den epostkontoen. Husk
i tilfelle på at informasjon fra andre deler av selskapet, f.eks. ledelse, HR
eller andre også kan være personlig—og til og med personsensitiv—informasjon!</p>
Et tredje alternativ er å holde et halvt øye med på eposten selv om man er på
reise. I hvertfall på jobbreiser. Da kan man selv selektivt videresende
meldinger til kolleger på kontoret om det er noe som ikke kan vente til en
kommer tilbake.</p>
Det er ikke sikkert at noen av disse alternativene er det riktige for din
bedrift. Det viktigste er å tenke over både fordeler og ulemper ved løsningene
man tar i bruk, og å utarbeide retningslinjer for når og hvordan de kan brukes.</p>
Forslag til retningslinjer</h2>
Som ofte ellers når det kommer til sikkerhet, så er det ikke så lett å gi noen
absolutte retningslinjer for hva som er den beste løsningen for din bedrift.</p>
Jeg vil anbefale at bedriften tenker igjennom og setter opp retningslinjer
tilpasset deres behov. Dette bør være en del av retningslinjene for bruk av
epost og bedriftens epostkontoer.</p>
Viktigere enn bruk eller ikke bruk er retningslinjer for hva slags informasjon
det evt er greit å ta med i meldingene. Her kan bedriften utarbeide en mal som
de forventer at de ansatte bruker.</p>
Et eksempel på en slik mal kan være:</p>

Hei,</p>
Jeg er for tiden ikke i stand til å svare på meldingen din, men
vil komme tilbake til den så snart jeg kan. Hvis det haster, ta
kontakt med vårt sentralbord på post@example.com eller tlf 12345678.</p>
Vennlig hilsen,

Pliktoppfyllende Ansatt</p>
</blockquote>
Her gir vi minimalt med informasjon til evt. svindlere, men nok til at
kunder eller andre legitime henvendelser kan komme i kontakt med bedriften
om de trenger det.</p>

  Trenger du hjelp?</h3>
Phishing er en av de vanligste metodene brukt av svindlere og kriminelle til å
få tak i sensitiv informasjon. Dette kan de igjen bruke til å svindle deg eller bedriften din
for penger, men også til å skaffe seg tilgang til bedriftens interne nettverk.</p>

I følge IT sikkerhetsselskapet Sophos sin
siste rapport</a>
oppga 11% av selskaper utsatt for løspengevirus at phishing-epost var den
utløsende årsaken. Hele 34% av angrepene startet med en ondsinnet epost, enten
phishing eller en epost med et infisert vedlegg eller en lenke som installerer
skadevare.</p>

Eilertsens Kodeknekkeri</strong> kan bistå med kursing av ansatte,
rådgivning og phishing-simulering, for å teste og trene din bedrifts beredskap
mot slike angrep. Ta kontakt</a>, så
ser vi hva vi kan hjelpe dere med.</p>

</div>


Close, but no sigar...
Harald Eilertsen — Thu, 27 Jun 2024 00:00:00 +0000

  
  
  "phishing</a>" av Richzendy er lisensiert under CC BY 2.0.</p>
</figcaption>
  
</figure>
Phishing-epost som utgir seg for å være fra et parkeringsselskap er vist i
vinden for tiden. Det er kanskje lettere å få fisk på kroken enn med andre
svindler?</p>
Tross alt kan det være vanskelig å holde styr på hvilke parkeringsplasser man
har vært innom nå når parkering registreres ved at parkeringsselskapene spionerer
på bilen din heller enn at du må betale på automat.</p>
Her er utdrag fra den underliggende HTML-koden til en slik phishing-epost som
ramlet inn i en av honningfellene mine i dag:</p>
<a href="hxxp://easypaork.com/Ea.html">Орр𝖽а𝗍е𝗋е 𝗇&aring;</a>
</code></pre>
Pass på å lese nettadressen det linkes til nøye</em> om du tenker å klikke på den!</p>
(Som alltid: Aldri klikk på lenker du mottar uventet i epost!</em> Sender noen deg
slike lenker, så gi dem beskjed om at det ikke er greit!)</p>
En annen litt artig detalj er signaturen i eposten:</p>
<p>ЕАЅ&Upsilon;РА𝖱&Kappa; &Nu;о𝗋𝗐ау &amp; А𝗎𝗍орау</p>
</code></pre>
Her har de byttet ut noen alminnelige latinske bokstaver med greske som ligner
sånn nogenlunde. I tillegg er flere av tegnene som ser mer vanlige ut, byttet ut
med lignende tegn fra andre steder i unicode[1]</a></sup> tabellen.</p>
I vanlig epostvisning, vil det imidlertid se slik ut:</p>

ЕАЅΥРА𝖱Κ Νо𝗋𝗐ау & А𝗎𝗍орау</p>
</blockquote>
Da er det ikke like lett å se forskjellen lengre! Men legg likevel merke til at ikke alle bokstavene
ser helt "riktige" ut.</p>
Dette er nok uansett ment som et filter, for å sørge for at kun personer som ikke
leser for nøye klikker seg videre. Selv svindlere vil operere mest mulig
effektivt, og vil ikke kaste bort tiden på folk som avslører svindelen før de
har gitt fra seg kortdetaljer og annet de er ute etter.</p>

  Trenger du hjelp?</h3>
Phishing er en av de vanligste metodene brukt av svindlere og kriminelle til å
få tak i sensitiv informasjon. Dette kan de igjen bruke til å svindle deg eller bedriften din
for penger, men også til å skaffe seg tilgang til bedriftens interne nettverk.</p>

I følge IT sikkerhetsselskapet Sophos sin
siste rapport</a>
oppga 11% av selskaper utsatt for løspengevirus at phishing-epost var den
utløsende årsaken. Hele 34% av angrepene startet med en ondsinnet epost, enten
phishing eller en epost med et infisert vedlegg eller en lenke som installerer
skadevare.</p>

Eilertsens Kodeknekkeri</strong> kan bistå med kursing av ansatte,
rådgivning og phishing-simulering, for å teste og trene din bedrifts beredskap
mot slike angrep. Ta kontakt</a>, så
ser vi hva vi kan hjelpe dere med.</p>

</div>



Unicode er oversettelsestabellen som brukes for å oversette tall (som datamaskinen jobber med)
til bokstaver og tegn. Tabellen rommer en stor del av alle kjente språk, og en hel del andre ting, som
symboler, emojier og lignende. ↩</a></p>
</li>
</ol>


Phishingadvarsel: Skatterefusjon
Harald Eilertsen — Mon, 13 May 2024 00:00:00 +0000
Om du har fått en epost fra "Skatteetaten" om skatterefusjon, så er dette er svindel. Ikke klikk på lenker</em> i eposten, men skulle du være i tvil, så logg deg inn direkte på skatteetaten sine sider.</p>
Melding om evt skatt tilgode skal du få via altinn, ikke direkte i eposten din. (Igjen, logg inn direkte hos altinn, ikke</em> klikk på lenker i epost eller andre steder for å komme dit!.)</p>
Her er utdrag av eposten som dukket opp i en av mine honningfeller:</p>
Date: Sun, 12 May 2024 23:16:23 +0200
From: Skatteetaten <skat[at]mehrdadjannesar[.]com>
Subject: VIKTIG: Du har rett til skatterefusjon på 620 NOK
X-Mailer: MailEnable WebMail.NET

Refusjonsvarsel:
Melding Ref: 505/NO705896

Skatterefusjonsbeløp: 6.200 kroner. (verdi for 2024)

Du er nesten på slutten av fristen.

Vennligst klikk her og fyll ut skjemaet riktig innen utgangen av januar.
Unnlatelse av å gjøre dette vil føre til tap av denne refusjonen og eventuelle
fremtidige krav.

Vennlig hilsen,

© Skatteetaten 2024
</code></pre>
Siden du kommer til om du skulle klikke er hxxps://ficexpress[.]ca/sk/</code>. Altså ikke skatteetaten.</p>
På tross av at de ber deg klikke innen utgangen av januar(!), så er det altså best å la være, og vente på det egentlige skatteoppgjøret.</p>
Videre analyse</h2>
Når du klikker på lenken, blir du sendt videre til hxxp://annova[.]biz/sk</code> som er merket som en phishing side hos Virustotal</a>.</p>
Der får du opp følgende skjermbilde:</p>





  
  
  Skjermbilde av websiden som dukker opp om man klikker på lenken. Den ligner til forveksling på skatteetaten sine sider.</p>
</figcaption>
  
</figure>
Legg merke til adresselinjen øverst, og hvor lenken til knappen under markøren fører (nederst til venstre.)</p>
Klikker du på knappen så kommer du til en tilsynelatende litt en innloggingsside som ligner på den nå utdaterte innloggingssiden for BankID på mobil:</p>





  
  
  En falsk (og litt utdatert) BankID på mobil innloggingsside.</p>
</figcaption>
  
</figure>
Ved å fylle inn falske data (12345678 som telefonnummer, og 12345678901 som personnummer) kommer vi til kjernen av kampanjen:</p>





  
  
  Phishingside som ber om betalingsdetaljer, kontrnummer, fullt navn, osv.</p>
</figcaption>
  
</figure>
Her burde det være klart for de aller fleste at dette ikke er skatteetaten som er på ferde. Fyller du inn dataene de ber om her, så er det gode sjanser for at bankkontoen din blir tømt relativt umiddelbart. Ikke gjør det!</em></p>
Helt til slutt: Jeg er en profesjonell IT-sikkerhetsutøver, og har både rutiner, kunnskap og verktøy for å beskytte meg mot evt ondsinnede sider. Ikke følg slike lenker med mindre du vet hva du gjør!</em></p>
Jeg valgte å gjøre det her, for å vise hvordan mafiaen bak disse kampanjene opererer, og hvor lett det kan være å la seg lure om man først klikker på en lenke ved en feiltagelse.</p>
De første sidene ser til forveksling like ut som du ville forvente, og når du først har begynt å fylle inn data, er det lett å la seg lure videre til å oppgi litt mer.</p>

Eilertsens Kodeknekkeri - Blogg

Lenkelureri

Epost autosvar ved ferie og reiser

Trenger du hjelp?</h3> Phishing er en av de vanligste metodene brukt av svindlere og kriminelle til å få tak i sensitiv informasjon. Dette kan de igjen bruke til å svindle deg eller bedriften din for penger, men også til å skaffe seg tilgang til bedriftens interne nettverk.</p>

Close, but no sigar...

Trenger du hjelp?</h3> Phishing er en av de vanligste metodene brukt av svindlere og kriminelle til å få tak i sensitiv informasjon. Dette kan de igjen bruke til å svindle deg eller bedriften din for penger, men også til å skaffe seg tilgang til bedriftens interne nettverk.</p>

Phishingadvarsel: Skatterefusjon