Bezpieczeństwo

Ten SMS nie jest z Gumtree

15 listopada 2018

Ten SMS nie jest z Gumtree

Klikacie czasami w linki z SMSów? Bo jakby co to pamiętajcie, że my to robimy, żebyście Wy nie musieli, oczywiście wtedy, gdy chodzi o wiadomości mniej lub bardziej podejrzane. Tak jak ostatni przypadek, nakierowany na klientów serwisu ogłoszeniowego Gumtree.

Pieniędzy nie oddadzą, a jeszcze hasło zabiorą

Do naszego laboratorium trafiły wiadomości SMS sugerujące, że ktoś chce nam zapłacić. W treści mogliśmy znależć anglo- i włoskojęzyczną informację o tym, że należy nam się zwrot nadpłaty oraz link do serwisu hxxp://www-gumtree.com/xxxxxxx (zwróćcie uwagę na dywiz po prefiksie www w miejsce kropki), gdzie xxxxxxx to losowy ciąg siedmiu cyfr. Jeśli cyfry zgadzają się z faktyczną aukcją, po zostaniemy przeniesieni na stronę z rzekomym zwrotem.

Gdy wejdziemy w menu „zalogowanego” użytkownika, podstawiona strona przeniesieni nas na prawdziwe Gumtree. Jeśli jednak połaszczymy się na zwrot, panel logowania, który zobaczymy, będzie już fałszywy. A efekt jakże standardowy – login i hasło trafią do cyberprzestępców.

Atak z polskich numerów

Choć język kampanii wskazuje, iż kierowana jest do użytkowników w Wielkiej Brytanii i USA, nadawcami SMSów są… polskie numery. Skąd się wzięły? Ano stąd, że przestępcy znaleźli kolejny sposób na wykorzystanie podatnych urządzeń, wyposażonych w karty SIM. Tym razem posiadacze problematycznych sprzętów nie tylko płacą za SMSy wysyłane do Wlk. Brytanii i Włoch, ale ich sprzęty są też wykorzystywane do popełnienia przestępstwa.

Co zrobić? Jeśli dysponujecie urządzeniem, używającym karty SIM do komunikacji M2M (machine-to-machine) zajrzycie koniecznie tutaj i wykonajcie zalecane tam kroki. Warto poświęcić na to nawet dłuższą chwilę.

Udostępnij: Ten SMS nie jest z Gumtree

Bezpieczeństwo

„Widziałem Cię nago”…

6 września 2018

„Widziałem Cię nago”…

Zaintrygowałem Was tytułem, prawda? Taki był plan 😉 Brzmi zabawnie, jak na tekst o cyberbezpieczeństwie, tym niemniej sprawa robi się poważna, gdy dostaniemy takiego maila, a domniemany sprawca „za drobną opłatą” obiecuje nie publikować naszych intymnych fotografii w internecie. Ryzyko spore, może faktycznie widział, może gdzieś chodziłam/em nago po domu? Może lepiej zapłacić?

Nie negocjować z terrorystami

Gdybym miał wybrać jedną najbardziej znaczącą scenkę, klasyczną dla amerykańskich filmów akcji, byłby to prezydent USA, siedzący za biurkiem (nie nago 😉 ), mówiący stanowczym głosem: „Nie negocjujemy z terrorystami!”. Dlatego zanim w ogóle przyjdzie nam do głowy myśl, że w mailu, który dostaliśmy, może być coś na rzeczy, zastanówmy się… czy aby na pewno?

Czy w ogóle można włamać się do naszego komputera, czy smartfona i uzyskać dostęp do kamery? Cóż, niestety tak. Na smartfonie nieco trudniej. Instalując jakąkolwiek aplikację widzimy, bowiem czego się domaga, a jeśli np. kalendarz chce używać kamery, powinno to wzbudzić nasz niepokój. Na pececie niestety łatwiej złapać malware, czy trafić na przestępcę, który wykorzysta podatność urządzenia, czy systemu.

Zasłoń kamerę

Zakładając, że przestępcy się udało, czy mógł mnie widzieć? Jeśli przy komputerze nie siadamy nago, to nie, co nie zmienia faktu, że warto zainwestować kilka złotych w zasłonkę do kamery laptopa i pokazywać się naszym rozmówcom wtedy, kiedy to my chcemy. Z telefonem nie jest już tak łatwo, ale też nie popadajmy w paranoję. Faktycznie urządzenia mobilne nosimy ze sobą w – hmmm – różne miejsca, ale zamiast owijać je folią aluminiową, czy odłączać od internetu, możne je po prostu odłożyć tak, by jedna kamera była zasłonięta, a druga patrzyła w sufit. Przynajmniej wtedy, gdy chodzimy nago 😉

A przede wszystkim pamiętajmy, że tego typu próby wymuszenia w kwestii podejścia przestępców mają wiele wspólnego z phishingiem. Dobrze przygotowany atak socjotechniczny ma zadziałać na nasze emocje, na poziomie można by rzec „pierwotnym”. Nie mamy myśleć nad tym, co dostaliśmy – mamy natychmiast reagować. Albo klikać w linka, albo wpisywać login i hasło, albo – cóż – przelewać okup dla szantażysty. Warto wyrobić sobie jednolite podejście do wszystkich takich sytuacji w sieci – jeśli coś wywołuje u mnie ponadstandardowe emocje, muszę nabrać oddechu i na spokojnie zastanowić się, czy ma to jakikolwiek sens. Historia zna sytuacje, gdy „serwisant” widząc przez kamerkę laptopa młode, atrakcyjne kobiety, pisał na przejętych komputerach, że musi przeprowadzić test działania w warunkach zwiększonej wilgotności i prosił o wstawienie komputerów do łazienki, najlepiej przy włączonym prysznicu. I tak – ofiary się na to łapały, choć ciężko w to uwierzyć.

A jeśli faktycznie mogliście chodzić nago przed komputerem? Pytanie, czy warto płacić i wierzyć w uczciwość złodzieja, że potem nie będzie chciał więcej?

Fot. Carmichael Collective 

 

Udostępnij: „Widziałem Cię nago”…

Bezpieczeństwo

To nie Rossmann – to phishing

26 lipca 2018

To nie Rossmann – to phishing

Dostaliście w ostatnim czasie taką informację jak na tytułowym obrazku? Najczęściej pojawia się na urządzeniach mobilnych. Jeśli tak, jesteście w godnym towarzystwie, bo wraz z Wami pokazuje się przeszło 100 tysiącom osób w ciągu tygodnia, w samej tylko sieci Orange Polska. I tak – to nie Rossmann to wysłał i nie spodziewałbym się, że zyskacie pieniądze – prędzej je stracicie.

„Lewy” bon z Rossmanna

Witryna hxxp://play.leadzu.com/ to przez ostatnie tygodnie zdecydowany król jeśli chodzi o zablokowane w sieci Orange Polska próby phishingu. Najczęściej pojawia się Wam na urządzeniach mobilnych jako „Bon Rossmann”, ale np. na Windowsie potrafi się przedstawić jako nieokreślone coś „Exclusive for Windows PC”. Autorzy kampanii muszą się mocno starać, bowiem z wynikiem niemal 108 tysięcy „odpukań” przez ubiegły tydzień wyprzedza o wiele długości witrynę z drugiego miejsca, otwieraną „zaledwie” 17 tysięcy razy.

Jeśli jesteście klientami Orange Polska możecie jednak spać spokojnie. Wewnątrz sieci Orange Polska ten i tysiące innych adresów są blackholowane – nie macie możliwości wejścia na witryny rozpoznane jako phishingowe lub serwujące malware, zamiast nich zobaczycie informację z CyberTarczy z adresem właściwej strony (jeśli phishing jest na konkretną markę), bądź informacją, że strona jest „lewa”.

Nie ma darmowych obiadów

O ile obecnie celem kampanii wydaje się być wykradanie danych osobowych, tego typu strony mogą pełnić wieloraką rolę. Teraz kliknięcie „kontynuuj” przekieruje nas do formularza, ale to kwestia chwili roboty i na docelowej stronie może się znaleźć exploit, wykorzystujący podatność przeglądarki i instalująćym nam „niespodziankę”.

Nie bez kozery Mark Twain mawiał, że nie ma darmowych obiadów. Swoją drogą, wiecie skąd to się wzięło? Pisałem o tym już na blogu, ale chyba z pięć lat temu. Twain miał na myśli knajpę gdzieś w USA, w której do „darmowych” obiadów właściciel dodawał przesadnie dużo soli. Było smacznie, ale potem „nie wiedzieć czemu” klientom chciało się pić. Z radością więc płacili za piwo jak za zboże 😉 Pamiętajcie więc, że jeśli „wygrywacie” w konkursie, w którym nie braliście udziału, to coś tu brzydko pachnie… Życzę Wam wszystkim jak najwięcej takich kuponów, ale prawdziwych 🙂

Udostępnij: To nie Rossmann – to phishing

Bezpieczeństwo

Skąd phisherzy biorą informacje?

19 lipca 2018

Skąd phisherzy biorą informacje?

Korzystacie z Facebooka? Nawet jeśli powiecie „nie”, to będziecie w znacznej mniejszości, biorąc pod uwagę, że miesięcznie największy serwis społecznościowy świata odwiedza 2.19 miliarda (z czego 1.45 mld odwiedzających codziennie!) aktywnych użytkowników (dane za 1 kwartał 2018 za Statista.com). Dobra, jedna kwestia to czy korzystacie i choć sam dawno zrezygnowałem, jestem w stanie to zrozumieć. Ważniejsze pytanie brzmi jednak JAK korzystacie.

Phishing trudny do zauważenia

Pomysł na ten tekst wpadł mi, gdy pisałem na stronie CERT Orange Polska o nowym, niebezpiecznym phishingu (warto przeczytać, a najlepiej wbić sobie stronę do ulubionych 🙂 ). Po raz kolejny zdałem sobie bowiem sprawę, jak łatwo nas oszukać, jak chętnie sami dajemy do ręki broń cyber-przestępcom. Co innego bowiem, gdy podejrzany mail dostaniemy od obcego (mam nadzieję, że uporczywe wbijanie ludziom w głowy, że w takiej sytuacji podchodzimy do korespondencji jak pies do jeża), a inna rzecz, gdy o przelew poprosi nas, i to jeszcze w stanowczy sposób, nasz przełożony. Wtedy emocje mogą spowodować, że o ile zobaczymy, że to Michał Rosiak, to fakt, iż pisze z adresu szukamfrajera@okradnijmnie.com, możemy już przegapić…

Skąd mają moje dane?

W takiej sytuacji oczywiście od razu nasuwa się pytanie: „Skąd przestępcy mają informacje, że A jest przełożonym B?”. I to wracamy do pytania z leadu: jak korzystacie z mediów społecznościowych? Czy – skoro w dzisiejszych czasach bardzo często to nie praca, a… dom staje się naszym drugim domem, mieszamy w sieci nasze życie prywatne ze służbowym? Czy chwalimy się (albo narzekamy) naszą pracą? Tagujemy przełożonego na zdjęciach, czy w statusach? Każdy myślący przestępca, przygotowując się do włamania do firmowej sieci, zaczyna od wywiadu. Najpierw LinkedIn, potem Facebook, a potem, gdy uzyskają dalsze informacje – kolejne witryny, czy specjalistyczne fora. Im większa firma, tym większa szansa na znalezienie choćby jednego słabego punktu – czy to do takiego phishingu, jak opisywany na początku, czy też tematu (choćby rzadkiego hobby, np. hodowli krewetek), który przekona ofiarę do kliknięcia w odpowiednio spreparowany załącznik.

Pamiętajmy, że zazwyczaj do udanego włamania wystarczy jeden słaby punkt, a potem po nitce (lub kilku) można dojść do kłębka. Prywatność to dziś faktycznie iluzja, ale można się postarać, by zachować nad nią jakiś poziom kontroli.

Photo by Blogtrepreneur under the Creative Commons Attribution License

Udostępnij: Skąd phisherzy biorą informacje?

Bezpieczeństwo

To phishing, to nie od nas

29 marca 2018

To phishing, to nie od nas

Phishing nie zanika i jeszcze długo nie zaniknie. W sumie to pewnie nigdy. Zastanawiałem się, czy opisywać na Blogu powtarzające się ostatnio kampanie, skoro regularnie wrzucam informacje na ich temat na stronę CERT Orange Polska, ale w sumie niekoniecznie grupy odbiorców obu witryn muszą mieć znaczną część wspólną.

Nie opłacajcie tej faktury

Do polskich internautów od przeszło miesiąca nieregularnie trafiają fale wiadomości, a w nich phishing z „fakturami”. Nadawcą jest zawsze konto w domenie @orange.pl, zwięzła treść sugeruje opłacenie zaległej faktury, która ma się znajdować w załączonym pliku XLS. W większości przypadków plik zawiera trojana Nymaim – tzw. bankera, tj. złośliwy program wyspecjalizowany w wykradaniu loginów i haseł do kont bankowych. W momencie wysyłania przez przestępców kolejnych kampanii, zawarty w nich malware był wyjątkowo groźny, wykrywało go bowiem zazwyczaj ok. 10 procent silników antywirusowych.

W ostatniej mutacji przestępcy postarali się – przynajmniej w pewnym aspekcie – nieco bardziej, bowiem tym razem spróbowali udawać nie faktury biznesowe, ale dokumenty od nas, wysyłane z rachunkami za telefon. Nasi klienci wiedzą, że takie maile przychodzą z adresu e-faktura@pl.orange.com (a nie używanego przez przestępców Ornge PL <e-faktura.TP@orange.com> – literówka nieprzypadkowa, jest dziełem przestępców). Na szczęście dzięki wyglądowi wiadomości (z ukrytym w załączniku trojanem vjw0rm) na taki phishing nie złapie się – w co mocno wierzę – nikt, jednak przestępcy, o ile cechuje ich choćby odrobina inteligencji, przy kolejnej kampanii mogą znacząco poprawić przekaz.

Czy te maile są od Orange?

Nie. A dlaczego mają taką domenę nadawcy? Dlatego, że niestety łatwo ją podrobić, o czym piszemy np. tutaj. Jak się przed tym zabezpieczyć? Na kilka sposobów. Przede wszystkim zdrowym rozsądkiem. Jeśli dostajecie maila od nieznajomego, który domaga się od Was pieniędzy, nie otwierajcie załącznika. Najpierw uspokójcie emocje, na spokojnie przeczytajcie wiadomość, a jeśli nie macie pewności – zadzwońcie do domniemanego nadawcy. Jeśli w mailu nie ma telefonu – niemal na sto procent mamy do czynienia z oszustwem. Jeśli jest tam numer kontaktowy – być może dodzwonicie się do faktycznie istniejącej firmy, gdzie powiadomią Was o oszustwie.

Czy Orange ze swojej strony robi coś, by takie maile nie mogły być wysyłane? Tak. Serwery pocztowe domeny @orange.pl mają zaimplementowane mechanizmy SPF (Server Policy Framework) i DKIM (Domain Keys Identified Mail). Jednak w tym cały jest ambaras, by dwoje chciało naraz – informacje dotyczące naszych domen (@neostrada.pl i @orange.pl) muszą być prawidłowo rozpoznawane u Waszych dostawców poczty. Tak jest w przypadku domeny @pl.orange.com, z której przychodzą do Was nasze faktury, tym niemniej i tak niezmiennie zachęcamy Was do sprawdzenia, czy numer klienta i dane są faktycznie Wasze, zanim otworzycie załącznik.

CyberTarcza kontra phishing

Jednego możecie być pewni. Gdy próbki takich zagrożeń trafiają do nas, powiązane z nim adresy IP/domenowe są automatycznie blokowane przez CyberTarczę. Oznacza to, że pozostając w sieci Orange Polska nawet jeśli niefrasobliwie się zainfekujecie, złośliwe oprogramowanie nie będzie w stanie połączyć się ze swoim centrum kontroli, a Wy, wchodząc na stronę CyberTarczy, zobaczycie informację o infekcji.

Jeśli chcecie być na bieżąco z Orange’owymi newsami o bezpieczeństwie w internecie, zaglądajcie na naszą stronę i obserwujcie CERT Orange Polska na Twitterze.

I oczywiście niezmiennie, jak zawsze – uważajcie na siebie.

Spokojnych Świąt.

Udostępnij: To phishing, to nie od nas

Dodano do koszyka.

zamknij
informacje o cookies - Na naszej stronie stosujemy pliki cookies. Korzystanie z orange.pl bez zmiany ustawień przeglądarki oznacza,
że pliki cookies będą zamieszczane w Twoim urządzeniu. dowiedz się więcej