Hinter den Fassaden von Phishing-Attacken

Transkript

1 whitepaper: Sicherheitslösungen Hinter den Fassaden von Phishing-Attacken Eine Beschreibung von Phishing-Methoden und Gegenmaßnahmen Von Jonathan M Smith 1. Überblick Was versteht man unter Phishing? Phishing VoIP Phishing Fallbeispiel Eine Phishing-Attacke Erkennung Bekämpfung von Phishing Erkennung von Cousin-Domains Erkennung und Analyse des Angriffs Unschädlichmachen der betrügerischen Site Analyse betrügerischer Angriffe und forensische Services Werkzeugleisten für Anwender und Web-Filterung Authentifizierung und -Filterung Starke Authentifizierung auf Hardware- und Software-Basis Gegenseitige Authentifizierung Fallbeispiel Reaktion und Prävention Analyse des Angriffs Reaktion Vorbeugung vor künftigen Angriffen Fazit Seite 1 von 6

2 Überblick Seit einiger Zeit ist eine erhebliche Zunahme bei Online-Transaktionen zu beobachten. Kunden nutzen mittlerweile regelmäßig das Internet, um einzukaufen, ihre Bankgeschäfte abzuwickeln, Steuererklärungen einzureichen oder andere behördliche Dinge zu erledigen. Ein wesentlicher Anteil des Einzelhandelsgeschäftes läuft heute über Web-Shops, so dass Unternehmen auf diesen Vertriebskanal angewiesen sind. Diese Entwicklung hat auch eine Zunahme der Online-Kriminalität mit sich gebracht. In der vorliegenden Publikation für Führungskräfte behandeln wir das Thema Phishing. Hierbei werden an Kunden betrügerische s gesendet, um sie zur Preisgabe vertraulicher Informationen zu bewegen, die dann für den Zugriff auf sensible Informationen oder den Diebstahl online zugänglicher Guthaben oder Anlagegüter genutzt werden. Phishing basiert auf dem uralten Trick, sich als Repräsentant einer seriösen Organisation auszugeben, um sich einen Zugang oder den Zugriff auf das Eigentum anderer zu erschleichen. Die Folgen für Ihr Geschäft und Ihre Kunden können gravierend sein, zum Beispiel: das Risiko finanzieller Verluste für Ihre Kunden die Risiken des unerlaubten Zugriffs auf sensible Informationen Vertrauensverlust gegenüber Ihren Kunden vorübergehende Handlungs- bzw. Geschäftsunfähigkeit und daraus resultierende Einnahmeverluste das Risiko rechtlicher Schritte betroffener Kunden gegen Ihr Unternehmen Diese Publikation geht näher auf das Thema Phishing ein und beschreibt, wie wir Sie darin unterstützen können, derartige Praktiken zu bekämpfen und das Risiko von Schäden für Ihre Kunden und Ihre Organisation zu reduzieren. Was versteht man unter Phishing? Phishing ist eine betrügerische Strategie, mit der Kunden einer Online-Organisation dazu gebracht werden, Kriminellen ihre Identifikationsdaten preiszugeben. Dem Kunden wird eine geschickt, die ihn dazu auffordert, einen Link anzuklicken und auf der dann erscheinenden Webseite seine kompletten Identifikationsdaten einzugeben. Ziel ist es, diese Daten für einen Zugriff auf das Konto des Opfers zu nutzen, um Guthaben abzubuchen oder Einkäufe zu bezahlen. Phishing basiert alleine auf Täuschung und Wissen über Sozialverhalten. Es nutzt keine Schwachstellen im System aus. Die Risiken für den Phisher sind gering und seine Beute kann sehr groß sein. Eine Phishing-Attacke lässt sich automatisieren und der gesamte Vorgang kann online ablaufen. Phishing Ein typischer Phishing Angriff läuft wie folgt ab: Schritt 1 Liste von Adressen zusammenstellen Es kann eine Liste aus authentischen oder per Zufallsgenerator zusammengestellten Adressen verwendet werden, die sich auf populäre Domains wie yahoo.com oder hotmail stützt. Schritt 2 verfassen Es wird eine Vorlage im Layout eines vertrauenswürdigen Geldinstituts produziert, die meist eine Aufforderung zur Bestätigung von Zugangsdaten sowie einen Link auf eine Webseite enthält. Der Link wirkt authentisch, doch die tatsächliche URL führt zu einer vom Kriminellen eingerichteten, betrügerischen Site. Schritt 3 Website zum Sammeln der Daten einrichten Es wird eine Website mit einem Formular zur Eingabe der persönlichen Daten eingerichtet. Diese Daten können Passwörter und Antworten auf Sicherheitsabfragen sowie grundlegende Daten zu Konto und Identifikation umfassen. Um die Glaubwürdigkeit zu erhöhen, kann es Links auf die echte Site geben (in einem Fall war es ein Passwort vergessen Link). Auch die auf der gefälschten Seite erscheinenden Gestaltungselemente und Bilder können als Links zu den Bildern auf der Original-Site realisiert sein. Häufig erscheint als Adresse der Website nur eine IP-Adresse, doch in zunehmendem Maße verwenden Angreifer so genannte Cousin-Domains, um die in der Seite 2 von 6

3 angegebene URL noch glaubwürdiger erscheinen zu lassen. Cousin-Domains sind auf den Angreifer registrierte Domains, die der echten Domain gleichen oder die gleichen Wörter enthalten. Schritt 4 versenden Spamming Die wird unter Nutzung der Verteilerlisten verschickt. Software für den Versand von Massen- s gibt es längst. Sie lassen sich sogar unter Missbrauch infizierter Computer über das Internet verteilen. Der Angreifer muss auch dafür sorgen, dass die den Eindruck erweckt, als stammte sie vom wirklichen Geldinstitut. Dies erreicht er durch Spoofing (Vortäuschen) einer authentischen Adresse. Eine simple Aufgabe, die mit jedem einfachen Client zu bewerkstelligen ist. Schritt 5 Daten sammeln Dies geschieht auf der imitierten Web-Site, auf die der Link in der verweist. Das Formular auf der Seite fordert das Opfer zur Eingabe der Daten und Antworten auf Sicherheitsabfragen auf, die für die Anmeldung bei seinem Konto erforderlich sind. Die eingegebenen Daten werden in einer Datenbank oder Datei gespeichert, wo sie für den Angreifer zur Verfügung stehen. Schritt 6 Der eigentliche Diebstahl Der Angreifer verfügt nun über die Anmeldedaten des Kunden und hat Zugriff auf seine Konten. Für die Sammlung der abgebuchten Beträge auf einem lokalen Konto und die abschließende Überweisung an den Angreifer kann ein so genanntes Mule (Maultier) eingesetzt werden. Das Maultier erhält für seine Dienste in der Regel eine Art Kommission. Der Kunde bemerkt von dem unerlaubten Zugriff auf sein Konto zunächst nichts, bis ihm der zu niedrige Kontostand oder eigenartige Transaktionen auffallen. Es ist sogar möglich, dass der Angreifer das Konto des Kunden ganz in seinen Besitz nimmt und den eigentlichen Inhaber von weiteren Zugriffen aussperrt. VoIP Phishing Eine VoIP Phishing-Attacke, auch als Vishing bezeichnet, läuft wie nachfolgend beschrieben ab. Vishing ist eine Technik, die Voice over IP-Technologie dazu nutzt, sich Zugangsdaten von Opfern zu erschleichen. Schritt 1 Eine erstellen wie beim Phishing. Schritt 2 In der wird der URL-Link durch eine Telefonnummer ersetzt. Schritt 3 Mit PBX-Software (Software zur Einrichtung einer virtuellen Telefonanlage) und einer VoIP- Telefonnummer wird ein Call-Center eingerichtet. Mit den Funktionen der PBX-Software wird ein Voic -System geschaffen, das einschließlich der vertrauten, durch Nummerneingabe gesteuerten Menüs, wie das Call-Center des echten Unternehmens klingt. Sogar die Stimme des originalen Call- Centers kann dazu kopiert werden. Schritt 4 versenden wie beim Phishing. Schritt 5 Die Datensammlung erfolgt über die virtuelle Telefonanlage, in die sich der Kunde einwählt. Das Opfer wird zur Angabe seiner Anmeldedaten aufgefordert, die von der PBX-Software gesammelt und aufzeichnet werden. Damit verfügt der Angreifer über alle erforderlichen Zugangsdaten, um unerlaubte Transaktionen vorzunehmen. Schritt 6 Der Diebstahl kann dann in gleicher Weise erfolgen, wie für Phishing beschrieben. Eine Vishing-Attacke kann durch einen direkten Anruf beim Kunden sogar den gesamten Prozess umgehen. Dabei lässt sich die Anruferkennung fälschen, so dass die Nummer bei Prüfung durch die Telefonanlage des Kunden authentisch erscheint. Fallbeispiel Eine Phishing-Attacke Verizon Business verfügt über umfassende Erfahrung in der Bekämpfung von Phishing-Attacken. Vor einiger Zeit erfolgte ein derartiger Angriff auf einen unserer Kunden, ein Geldinstitut, das wir im weiteren Verlauf einfach Bank nennen werden. Nachfolgend sind die wichtigsten Details des Angriffs und die Reaktionen darauf beschrieben. Seite 3 von 6

4 Erkennung Im vierten Quartal 2006 wurde die Bank durch die Kopie einer , die an die Sicherheitsabteilung der Bank geschickt wurde, auf eine gerade laufende Phishing-Attacke aufmerksam gemacht. Die Berater von Verizon Business gaben Ratschläge und Leitlinien für die sofortige Erkennung und Eindämmung des Angriffs sowie die Prävention künftiger Attacken. Die Quelle der konnte nicht ermittelt werden, da sie mehrfach weitergeleitet worden war. Auffällig war jedoch, dass an mehreren Stellen der Name der Bank falsch geschrieben war. Der Link in der Mail war verschleiert, tatsächlich führte die URL zu einer Site in Deutschland. Diese Site bot ein Web-Formular an, das den Anwender zur Eingabe seiner Sicherheitsdaten aufforderte. Nach der Eingabe erschien eine Erfolgsmeldung und der Anwender wurde zur echten Anmeldeseite weitergeleitet. Die betrügerische Website wurde analysiert. Dabei zeigte sich, dass sie http-links auf die echte Site dazu verwendete, das Erscheinungsbild des Originals nachzustellen. Bekämpfung von Phishing Für die Bekämpfung von Phishing setzt Verizon Business eine Reihe spezifischer Techniken ein. Davon abgesehen ist es jedoch unverzichtbar, Anwender so zu schulen, dass sie nicht Opfer der sozialen und psychologischen Tricks dieser Kriminellen werden. Die im Anschluss beschriebenen Techniken eignen sich zur Eindämmung oder Reduzierung von Phishing-Attacken. Verizon Business kann diese Techniken im Auftrag anwenden oder den Kunden bei ihrem Einsatz unterstützen. Erkennung von Cousin-Domains Beispiele für Cousin-Domains sind mybank.org, confirmmybank.com oder sogar wwwmybank. com. Sie könnten Opfer glauben machen, dass sie die echte Website von mybank.com vor Augen haben. Verizon Business bietet einen Service zur Überwachung neuer Domain-Eintragungen an und untersucht bestehende Domain-Eintragungen daraufhin, ob sie zum beschriebenen Täuschungszweck verwendet werden könnten. Der Kunde sollte auch in Erwägung ziehen, offensichtliche Cousin-Domains auf sich selbst eintragen zu lassen, um einem Missbrauch durch Kriminelle vorzubeugen. Erkennung und Analyse des Angriffs Verizon Business kann das Internet daraufhin überwachen, ob gerade eine Attacke stattfindet. Je früher ein Angriff erkannt wird, desto eher können natürlich Eindämmungsmaßnahmen ergriffen werden. Derzeit basiert die Früherkennung auf der Überwachung von Spam, größeren Diensten, DNS, Messageboards, Chatrooms und Blogs sowie der Analyse der Protokolle von Web-Servern und Firewalls auf bestimmte Muster beim URL-Referring. Unschädlichmachen der betrügerischen Site Unter Umständen kann Verizon Business die betrügerische Website unschädlich machen oder den Zugriff darauf unterbinden. Diese Option besteht jedoch nur, wenn eine Phishing-Attacke bereits im Gange ist. Ob und wie schnell es möglich ist, hängt vom Host der Site ab. Es besteht sicherlich die Möglichkeit, verlinkte Objekte zu ändern, die auf der betrügerischen Webseite verwendet werden. Beispielsweise kann ein Firmenlogo, das auf der gefälschten Webseite erscheint, als Link auf ein Objekt der echten Site realisiert sein. Man könnte dann das Originalbild durch eine Warnung an den irregeführten Benutzer ersetzen. Analyse betrügerischer Angriffe und forensische Services Verizon Business wird versuchen, die Quelle und die Vorgehensweise des Angriffs zu bestimmen. Viele Informationen lassen sich aus der Untersuchung der bei einer Phishing-Attacke verwendeten -Header und Websites gewinnen. Domain-Eintragungen können Hinweise auf den Angreifer liefern, wobei diese Angaben aber wahrscheinlich falsch sein dürften. Die Analyse von IP- Adressen bietet Informationen über den ISP und geografische Angaben zur Website. Der ISP ist möglicherweise bei nachfolgenden Untersuchungen behilflich. Es ist wichtig, die Spur bis zu den Urhebern des Angriffs zurückzuverfolgen. Jede Information bringt die Ermittler dabei einen Schritt Seite 4 von 6

5 weiter. Web- und Firewall-Protokolle des geschädigten Unternehmens können bei der Identifikation potenzieller Betrugsopfer helfen. Wenn die Angreifer auf ihrer gefälschten Website verlinkte Logos oder originale Links verwendet haben, geben die Zugriffsprotokolle möglicherweise Auskunft über die IP-Adresse von Opfern, die dann ermittelt und gewarnt werden können. Werkzeugleisten für Anwender und Web-Filterung Anti-Phishing Werkzeugleisten wie die in FireFox v.2 und Internet Explorer 7 überwachen alle von einem Anwender angeklickten URLs und gleichen sie mit einer Liste ab, die URLs bekannter betrügerischer Sites enthält. Dieser Service ist darauf angewiesen, dass Anwender URLs solcher Sites mittels der Werkzeugleiste an eine zentrale Stelle melden. Diese wirkungsvolle Lösung wird jedoch die Gefahr von Phishing-Attacken niemals gänzlich bannen, denn sie setzt voraus, dass jeder diese Werkzeugleiste besitzt und auch nutzt. Und sie geht davon aus, dass Anwender eine betrügerische Seite als solche erkennen. Authentifizierung und -Filterung Die umfassendste Methode zum Vermeiden gefälschter s ist die Nutzung von S/MIME. Diese Methode verwendet digitale Signaturen, um Inhalt und Absender einer zu verifizieren. Die meisten gängigen Clients können die Signaturen über öffentliche Zertifizierungsbehörden prüfen. Möglich ist auch die Verwendung eines sicheren Mail-Portals. Dabei handelt es sich um ein abgesichertes Web-Mail-System, das in das normale Portal des Kunden integriert ist. Wird es ausschließlich für die Kommunikation mit Endkunden genutzt, können Organisationen ihre Kunden so konditionieren, dass sie im Posteingang ihres persönlichen Accounts keine anderen Nachrichten der Organisation als die erwarten, dass im sicheren Portal neue s für sie bereit stehen. Verizon Business bietet darüber hinaus hochmoderne Filter und Anti-Spam Lösungen an. Starke Authentifizierung auf Hardware- und Software-Basis Zeitbasierte oder Challenge-Response-Authentifizierung arbeitet mit einmaligen Zugangscodes, die nur von dem Anwender eingegeben werden können, der im Besitz eines Tokens ist. Das bedeutet, derartige Zugangsdaten können nicht gespeichert und wieder verwendet werden, wie es für einen Phishing-Angriff erforderlich wäre. Die einzig mögliche Angriffsmethode ist hier die Man in the middle Attacke, bei der ein Betrüger die vom Opfer eingegebenen Daten abfängt und sofort auf der echten Site zu seinen Zwecken nutzt. Solche Angriffe sind selten, was jedoch nur daran liegt, dass derartige Authentifizierungsmethoden bei Online-Verbraucherdiensten kaum Anwendung finden. Gegenseitige Authentifizierung Online-Dienste konzentrieren sich hauptsächlich auf die Authentifizierung des Kunden. Gegenseitige Authentifizierung bedeutet, sowohl die Identität der Website als auch die des Kunden zu verifizieren. Mit https kann eine Website nachweisen, dass es sich um das Original und nicht um eine betrügerische Nachahmung handelt. Das Verfahren nutzt ein digitales Zertifikat, um die Identität der Website zu belegen. Leider handelt es sich hierbei um einen passiven Prozess; wird https nicht benutzt, wird auch kein Fehler gemeldet. Nur ein entsprechend geschulter Anwender erkennt den Unterschied zwischen https und http. Es ist möglich, Bilder oder Informationen anzuzeigen, die nur dem Kunden bekannt sind. Dies könnte als Reaktion auf eine vom Kunden gestellte Frage geschehen. Nur die echte Site würde die richtige Antwort kennen. Auch hier gilt allerdings der oben beschriebene Sicherheitsvorbehalt bezüglich Man in the middle Attacken. Manche Phishing-Angriffe versuchen, auch diese Informationen zu erschleichen. Seite 5 von 6

6 Fallbeispiel Reaktion und Prävention Analyse des Angriffs Durch Analyse der betrügerischen Website wurden wichtige Datenelemente ermittelt: Die Referrer http Protokolle zeigten, wo Bilder von der echten Site von einem Kunden heruntergeladen worden waren, der die Phishing-Site auf dem Bildschirm hatte. Das betreffende Bild wurde von VBSS durch eine Warnung an die Benutzer ersetzt, dass sie sich gerade auf einer betrügerischen Site befinden. Die echte Site wurde dahingehend geändert, dass sie umbenannte Kopien der Originalbilder verwendete und damit ihr optisches Bild unverändert blieb. Die Angreifer hatten die Bilder-Links von der Originalsite einschließlich des Internet-Session Identifiers in der URL kopiert. Er meldet jede neue Session bei den Servern an. Reaktion Um schnell künftige Gefährdungen der Zugangsdaten von Kunden zu verhindern, wurden folgende Maßnahmen ergriffen: Verlinkte Bilder wurden durch Warnungen ersetzt, die auf der betrügerischen Webseite erschienen. Diese Maßnahme wurde, weil einfach zu bewerkstelligen, sehr schnell verwirklicht. Ausfiltern von Verbindungen, die im Referrer-Header die URL der gefälschten Website enthielten. Identifikation potenzieller Betrugsopfer durch Analyse der Website-Protokolle. Vorbeugung vor künftigen Angriffen In den Links der gefälschten Website wurde ein codierter Session-Key gefunden. Durch Untersuchung der Protokolle auf die erste Verwendung des eigentlich einmaligen Session-Keys konnte die originale IP-Adresse der betrügerischen Website ermittelt werden. Es ist davon auszugehen, dass diese Session-IDs von den Autoren bei der Entwicklung der gefälschten Website erzeugt wurden. Weitere Informationen über das Produktportfolio von Verizon Business finden Sie unter Die IP-Adresse der betrügerischen Site konnte zu einem bestimmten ISP und geografischen Ort zurückverfolgt werden. Es wurden 125 Kunden ermittelt, die auf die Site der Kriminellen zugegriffen hatten. 17 von ihnen hatten möglicherweise Daten eingegeben. Fazit Sie können es sich nicht leisten, die Integrität Ihrer Kunden oder Ihres Geschäftes zu gefährden. Phishing-Attacken werden häufiger und sie sind immer besser organisiert. Die Gefährdung durch Phisher ist Realität, ihre Aktivitäten sind wohlgeordnet und die von ihnen benutzten Hilfsmittel können hoch entwickelt sein. Da die Einsätze und ebenso die potenziellen Gewinne wachsen, ist davon auszugehen, dass die nahe Zukunft Weiterentwicklungen bei den Phishing-Techniken und eine zunehmende Zahl von Phishing-Attacken bringen wird. Mit Ihrer Entscheidung für Verizon Business als Sicherheitspartner haben Sie einen Verbündeten an Ihrer Seite, der über das nötige Know-how zur Prävention und Bekämpfung heute gängiger Phishing-Attacken und künftig verwendeter Methoden verfügt. Bitte erkundigen Sie sich bei Ihrem Vertriebsrepräsentanten, welche Dienste in den spezifischen Ländern verfügbar sind Verizon. Alle Rechte vorbehalten. WP_Phishing_DE_0307 Namen und Logos von Verizon und Verizon Business sowie alle anderen Namen, Logos und Slogans, die sich auf Produkte und Services von Verizon beziehen, sind Markenzeichen und Dienstleistungsmarken oder geschützte Marken und sonstige Kennzeichen bzw. registrierte Markenzeichen und Dienstleistungsmarken von Verizon Trademark Services LLC oder seiner verbundenen Unternehmen in den Vereinigten Staaten und/oder anderen Ländern. Alle anderen Markenzeichen und Dienstleistungsmarken gehören ihren jeweiligen Eigentümern. Seite 6 von 6