NoPhish Schulung. Lerne wie Phisher vorgehen und wie man sich schützen kann. Unterlagen erstellt am Technische Universität Darmstadt

Transkript

1 Technische Universität Darmstadt NoPhish Schulung Lerne wie Phisher vorgehen und wie man sich schützen kann Unterlagen erstellt am

2 Schulungsunterlagen entstanden im Projekt KMU Aware

3 Ziele der Initiative IT-Sicherheit in der Wirtschaft Unterstützung kleiner und mittelständischer Unternehmen beim sicheren Einsatz von IKT-Systemen Schaffen einer Grundlage, um die Bewusstseinsbildung in der digitalen Wirtschaft bzgl. IT-Sicherheit zu stärken Anbieten konkreter Unterstützungsmaßnahmen, um die IT-Sicherheit in kleinen und mittelständischen Unternehmen zu verbessern Dazu: Beteiligung von Sicherheitsexperten aus Wissenschaft, Wirtschaft und Verwaltung

4 Struktur Grundprinzip von Phishing Lektion 1-9 zu verschiedenen Angriffen Abschließenden Bemerkungen 4

5 Grundprinzip von Phishing Klassisches Phishing Betrüger Kontodaten oder Kreditkartendaten Konto zu plündern Versand vertrauenswürdig aussehender Nachrichten Absender: bekannte Institutionen z.b. Amazon oder Ihre Bank Nachricht Link zum Anmelden oder Eingabe anderer sensibler Daten Link Webseite wirkt vertrauenswürdig - gefälschte Kopie Daten werden vom Betrüger abgegriffen. 5

6 Grundprinzip von Phishing Beispiel-Phishing Mail

7 Grundprinzip von Phishing Amazon

8 Grundprinzip von Phishing Amazon Durch Webadresse (grün umrandet) authentische Identifikation der Webseite WICHTIG: Lediglich Relevanz von Webadresse in unterer Leiste In Text kann beliebige stehen

9 Grundprinzip von Phishing Beispiel-Phishing Mail Webadresse (rot umrandet) dieser Webseite nicht trauen

10 Grundprinzip von Phishing Beispiel-Phishing-Webseite 10

11 Grundprinzip von Phishing Originale Amazon-Seite 11

12 Grundprinzip von Phishing Originale Amazon-Seite Durch Webadresse (grün umrandet) authentische Identifikation der Webseite 12

13 Grundprinzip von Phishing Phishing-Webseite Beispiel für Phishing Webseite Webadresse (rot umrandet) dieser Webseite nicht trauen 13

14 Grundprinzip von Phishing Erkennung von Phishing Angriffen Phishingnachrichten/seiten lassen sich an Webadresse bzw. URL erkennen echtes Ziel eines Links erfahren Verweilen auf dem Link mittels Mauszeiger URL URL 14

15 Grundprinzip von Phishing Erkennung von Phishing Angriffen an mobilen Endgeräten An mobilen Geräten mit Finger auf Link verweilen Ziel wird entweder in Fenster neben Mauszeiger angezeigt oder in Statusleiste am unteren Ende der Mail 15

16 Grundprinzip von Phishing Sie haben bisher gelernt: Webadresse als einziges Erkennungsmerkmal für falsche Nachrichten und Webseiten Immer sorgfältige Prüfung nötig Ziel in den folgenden Lektionen ist es: Phishing-Webadressen erkennen Ziel in der folgenden Lektion ist es, den Aufbau von Webadressen kennen zu lernen sowie wichtige Elemente zur Phishing-Erkennung. 16

17 Lektion 1 Struktur von Webadressen / URLs

18 Lektion 1: Struktur von Webadressen Aufbau einer Webadresse Wichtig zur Erkennung von Phishing-Webadressen Lektion 1 Aufbau von Webadressen 18

19 Lektion 1: Struktur von Webadressen Beispiel für eine Webadresse: 19

20 Lektion 1: Struktur von Webadressen Bestandteile einer Webadresse Zur Erklärung der Bestandteile Betrachtung von Webseiten als Gesprächspartner Informationen über die Sicherheitsstufe Informationen über den Gesprächspartner selbst abo.spiegel.de/ digital Informationen über das Gesprächsthema Dieser Bereich kann auch fehlen 20

21 Lektion 1: Struktur von Webadressen Bereich Informationen über Gesprächspartner selbst Identifikation des Gesprächspartners sehr wichtig für Erkennung von Phishing URLs Bereich zwischen oder und dem dritten Slash / Identifikation Ihres Gesprächspartners Übrige Bereiche für Phishing-Erkennung nicht relevant Informationen über Gesprächspartner selbst

22 Lektion 1: Struktur von Webadressen Aufbau des Gesprächspartner -Bereiches Bereich durch Punkte in einzelne Blöcke unterteilt Blöcke werden von rechts nach links gelesen abo. spiegel. de /... 22

23 Lektion 1: Struktur von Webadressen Angaben zum Standort Ihres Gesprächspartners erster Block (von rechts) gibt Informationen über Standort des Gesprächspartners Hier de für Deutschland. abo. spiegel. de /... Standort 23

24 Lektion 1: Struktur von Webadressen Angaben zum Unternehmen zweiter Block (von rechts) gibt Informationen über Unternehmenszugehörigkeit des Gesprächspartners Hier spiegel abo. spiegel. de /... Unternehmen 24

25 Lektion 1: Struktur von Webadressen Angaben zu Abteilungen Ab drittem Block (von rechts) Angabe der verschiedenen Abteilungen des Unternehmens (kann ein Block oder mehrere sein) Hier abo abo. spiegel. de /... Abteilungen online. abo. spiegel. de /... 25

26 Lektion 1: Struktur von Webadressen Der Wer-Bereich abo. spiegel. de /... Abteilungen Wer-Bereich (Unternehmen + Standort) 26

27 Lektion 1: Struktur von Webadressen Der Wer-Bereich Erste zwei Blöcke (von rechts) wichtigste zwei Blöcke einer Webadresse nur hier Angabe über tatsächlichen Gesprächspartner Bereich muss von jedem Gesprächspartner, d.h. jeder Webseite, bei einer zentralen Stelle registriert werden Bereits registrierte Namen können kein zweites Mal registriert werden 27

28 Lektion 1: Struktur von Webadressen Zusammenfassung: Der Wer-Bereich als wichtigster Bestandteil Wir betrachten Webseiten als Gesprächspartner. 28

29 Lektion 2 Angriffstyp: IP-Adressen als Wer-Bereich

30 Lektion 2: Angriffstyp: IP-Adressen als Wer-Bereich Angriff durch IP-Adresse als Wer-Bereich Die einfachsten Tricks: IP-Adressen statt Begriffen im Wer-Bereich der Webadresse Vielfach in s und Webbrowsern gar nicht geprüft Keine Angriffserkennung möglich URL 30

31 Grundprinzip von Phishing Was sind IP-Adressen? Haus: Straßenname + Hausnummer Computer im Internet: IP-Adresse Hausadresse IP-Adresse IP-Adresse als Abfolge von 4 Zahlenblöcken mit Punkt als Trennung Beispiel:

32 Lektion 2: Angriffstyp: IP-Adressen als Wer-Bereich Angriff Ist Bereich zwischen oder und dem dritten Slash / eine IP- Adresse Wer-Bereich Sehr wahrscheinlich Phishing-Webseite Geben Sie hier keine Daten ein. Beispiel: Amazon /Webseite nutzt folgende Webadresse: Angriffstyp: IP-Adressen als Wer-Bereich 32

33 Lektion 3 Angriffstyp: zufällige URL Name des Gesprächspartners kommt nicht vor

34 Lektion 3: Angriffstyp: zufällige URL Name des Gesprächspartners kommt nicht vor Angriff: Webadresse / URL sowieso nicht von Nutzern geprüft Wenig Bemühung in der Täuschung Name Ihres Gesprächspartners taucht gar nicht auf in der Webadresse Geben Sie hier keine Daten ein. sehr wahrscheinlich Phishing URL WICHTIG: Keine Daten eingeben, selbst wenn Wer-Bereich vertrauenswürdig klingt sehr wahrscheinlich eine Phishing URL 34

35 Lektion 3: Angriffstyp: zufällige URL Name des Gesprächspartners kommt nicht vor Gut zu Wissen Nur Verwendung von Klein-Buchstaben und Zahlen sowie Bindestrichen (-) möglich Amazon wird zu amazon.de oder amazon.com VHS wird zu vhs.de Deutsche Bank verwendet deutsche-bank.de 1&1 verwendet 1und1.de Webadressen fangen nicht notwendigerweise mit www an (gilt für echte und Phishing URLs) früher keine Erlaubnis von Umlauten in Webadressen Daher oft Umwandlung von Umlauten in, z.b. ü in ue bei 35

36 Lektion 4 Angriffstyp: Name des Gesprächspartners als Abteilungsname

37 Lektion 4: Angriffstyp: Name des Gesprächspartners als Abteilungsname Angriff: Webadresse / URL nur nach dem Namen des Geschäftspartners überprüft Namen Ihres Gesprächspartners (oder ganze Webadresse) als Abteilung Nur im Abteilungs-Bereich hier keine Daten eingeben Sehr wahrscheinlich Phishing URL WICHTIG: Keine Daten eingeben, selbst wenn Wer-Bereich vertrauenswürdig klingt sehr wahrscheinlich Phishing URL 37

38 Lektion 4: Angriffstyp: Name des Gesprächspartners als Abteilungsname Hinweis Wer-Bereich muss auch vom Phisher registriert werden Verwendung von bereits registrierten Namen nicht noch einmal möglich Abteilungen kann jeder nennen, wie er möchte nicht auf Bereich der Abteilungen verlassen Es ist wichtig, dass Sie von rechts nach links lesen. 38

39 Lektion 5 Angriffstyp: Name des Gesprächspartners im Gesprächsthema- Bereich

40 Lektion 5: Angriffstyp: Name des Gesprächspartners im Gesprächsthema-Bereich Angriff: Namen Ihres Gesprächspartners (oder dessen Webadresse) als Gesprächsthema Bereich nach dem dritten Slash "/" gibt Informationen über Gesprächsthema mit Gesprächspartner Nur als Gesprächsthema hier keine Daten eingeben Sehr wahrscheinlich Phishing URL WICHTIG: Keine Daten eingeben, selbst wenn Wer-Bereich vertrauenswürdig klingt sehr wahrscheinlich Phishing URL 40

41 Lektion 5: Angriffstyp: Name des Gesprächspartners im Gesprächsthema-Bereich Hinweis Wer-Bereich muss auch vom Phisher registriert werden Verwendung von bereits registrierten Namen nicht noch einmal möglich Gesprächsthema einer Webadresse kann jeder nennen wie er möchte Nicht auf Bereich des Gesprächsthemas verlassen Bereich hat keine Relevanz für Untersuchung der Webadresse 41

42 Lektion 5: Angriffstyp: Name des Gesprächspartners im Gesprächsthema-Bereich Hinweis Vertrauenswürdig klingende Ausdrücke durchaus möglich Aber in Abteilung oder Gesprächsthema

43 Lektion 6 Angriffstyp: Ähnliche Namen im Wer-Bereich

44 Lektion 6: Angriffstyp: Ähnliche Namen im Wer-Bereich Angriff: Überprüfung gewährleistet keine 100%ige Sicherheit über Wer-Bereich Name Ihres Gesprächspartners mit einem Zusatz im Wer-Bereich Ähneln Original aber Fälschung! Sind Zusätze zum Namen Ihres Gesprächspartners im Wer-Bereich Hier keine Daten eingeben WICHTIG: Keine Daten eingeben, selbst wenn Wer-Bereich vertrauenswürdig klingt sehr wahrscheinlich Phishing URL

45 Lektion 6: Angriffstyp: Ähnliche Namen im Wer-Bereich Wichtig: Entweder merken, wie Wer-Bereich von besuchten Webseiten aussieht oder bei z.b. Google suchen leider auch viele authentische / echte Webadressen, die zur Verwirrung beitragen (Volksbanken und Raiffeisenbanken) Kontaktieren des Gesprächspartners via oder Telefon ist möglich aber niemals in Phishingnachricht/Webseite angegebene Kontaktdaten verwenden 45

46 Lektion 6: Angriffstyp: Ähnliche Namen im Wer-Bereich Hinweis: Vorsicht bei englischen Namen und Aussprache im Deutschen

47 Lektion 7 Angriffstyp: Tippfehler im Wer-Bereich 47

48 Lektion 7: Angriffstyp: Tippfehler im Wer-Bereich Angriff: Raffinierte Phisher Namen Ihres Gesprächspartners in leicht veränderter Form im Wer-Bereich Prüfen Sie daher den Wer-Bereich genau hinsichtlich Buchstabendreher Prüfen Sie den Wer-Bereich auch sorgfältig hinsichtlich falscher Buchstaben

49 Lektion 7: Angriffstyp: Tippfehler im Wer-Bereich Beispieltext zur Verdeutlichung (einfach mal lesen): Gmäeß eneir Sutide der Cabrmidge Uvinisterät ist es nchit witihcg, in wlecehr Rneflogheie die Bstachuebn in eneim Wrot snid, das ezniige was wcthiig ist, dass der estre und der leztte Bstabchue an der ritihcegn Pstoiion snid. Der Rset knan ein ttoaelr Bsinöldn sien, tedztorm knan man ihn onhe Pemoblre lseen. Das ist so, wiel wir nciht jeedn Bstachuebn enzelin leesn, snderon das Wrot als gseatems. geübter Leser überfliegt die Wörter erkennt sie an Ihrer Muster z.b. Anfangs- und Endbuchstabe Gehirn verbindet zufällige Anordnungen mit vertrauten Dingen 49

50 Lektion 7: Angriffstyp: Tippfehler im Wer-Bereich Vorsicht: Bei gutem Phishing-Angriff sieht alles nach (hier) Amazon aus führt dazu, dass Gehirn wahrscheinlicher Fehler übersieht 50

51 Lektion 7: Angriffstyp: Tippfehler im Wer-Bereich Wichtig: Wer-Bereich muss auch vom Phisher registriert werden Verwendung von bereits registrierten Namen nicht noch einmal möglich Tippfehler einbauen und registrieren Enthält der Wer-Bereich einen Tippfehler Hier keine Daten eingeben Sehr wahrscheinlich Phishing URL 51

52 Lektion 8 Angriffstyp: Ähnliche Zeichen im Wer-Bereich

53 Lektion 8: Angriffstyp: Ähnliche Zeichen im Wer-Bereich Angriff: Name Ihres Gesprächspartners in leicht veränderter Form Ersetzen von einzelnen Buchstaben durch ähnlich aussehende Buchstaben oder Zahlen Korrektheit jedes Buchstabens Ein w wird durch zwei v s ersetzt: Ein l wird durch ein i ersetzt: Ein l wird durch eine 1 ersetzt: (andere Schriftarten) 53

54 Lektion 8: Angriffstyp: Ähnliche Zeichen im Wer-Bereich Wichtig: Einen (oder mehrere) Buchstaben austauschen Als Wer-Bereich registrieren Buchstabe für Buchstabe Verwendung von Zeichen, die wie andere wirken Sehr wahrscheinlich Phishing URL Weitere Beispiele: m rn h ln k lx d cl ap qo o 0 (Vorsicht : Nur Verwendung von Klein-Buchstaben) 54

55 Lektion 9 Weitere Hinweise

56 Lektion 9: Weitere Hinweise Weitere Tricks : Tiny URLs Kurzlink (auch Tiny-URL genannt) echtes Ziel verschleiern führt zu NoPhish Webseite Verkürzte Formen von Webadressen Erleichterung des Abtippens von Webadressen Erst nach Auflösung URL überprüfen: Sicheres Vorgehen nicht auf Link klicken sondern Webadresse mit bekanntem Wer-Bereich manuell eingeben Weiterer Trick von Phishern: andere Zeichensätze für Webadresse verwenden zwei identische Zeichen aus zwei verschiedenen Zeichensätzen sehen identisch aus Unterschied mit dem bloßen Auge nicht erkennbar Gefälschter Wer-Bereich scheint sich vom legitimen nicht zu unterscheiden 56

57 Lektion 9: Weitere Hinweise Weitere Tricks : Referrer Aufruf einer Webseite über Link von anderer Seite Übermittlung von Referrer Mittels Dereferer Verschleierung der ursprünglichen Webseite Aufruf eines Links über GMX Dereferer wird vor Ziel-URL gesetzt Hier als Beispiel: gmx.net (Ursprungsseite) und info.allyouneed.com (Ziel-Seite) allyouneed.com%2fgo%2f0%2f1lnsd479-1lm9yf2u-1l9eooax-vryal9.html%3 Frid%3D12YEEUIW-19J53LF Webbrowser ruft gmx-seite auf Weiterleitung auf info.allyouneed.com deref-gmx.net sagt nichts über eigentliches Ziel aus Anwendung des Verfahrens bei Verbergung von geheimen Daten in Ursprungs- URL (z.b. Existenz der verweisenden Webseite) 57

58 Lektion 9: Weitere Hinweise Weitere Tricks : cctld cctlds = länderspezifische Top-Level-Domains (Top-Level-Domain hier Wer- Bereich) Viele legitime Webseiten nutzen Verfahren z.b. Vorher gelernte Regeln ( Betrachte nur die letzten beiden Bereiche vor dem dritten Slash ) Wer-Bereich = co.uk keine Aussagekraft über Legitimität der Webseite co = commercial uk = Vereinigtes Königreich 58

59 Lektion 9: Weitere Hinweise Weitere Tricks: Länderkennung Phisher versuchen andere Länderkennungen zu verwenden statt Fokus bisher auf Namen des Gesprächspartners Sicheres Vorgehen Länderkennung prüfen Nicht nur Länderkennungen auch solche für Städte (z.b..berlin) oder Organisationen (.org) Fokus auf Name des Gesprächspartners + Länderkennung im Wer-Bereich 59

60 Lektion 9: Weitere Hinweise Weitere Tricks: Psychologische Tricks Animation für Link klicken verschiedene Tricks Bspw. durch (Zeit-) Druck aufbauen (z.b. Account Sperrung) Neu: Anbieten von 2 Links (z.b. Banktransaktion) 1. Link Ich habe gar keine Transaktion durchgeführt 2. Link Ja, ich habe diese Transaktion veranlasst 60

61 Lektion 9: Weitere Hinweise Verwirrende aber legitime Webadressen legitime Webseiten sehen verdächtig nach Phishing-Webadressen aus reguläre Webseite der Commerzbank: bei Online-Banking: commerzbanking.de Wer-Bereich nur Abwandlung des Wer-Bereiches der regulären Webseite der Bank Fälschliche Identifikation von Phishing Weiteres Beispiel von zwei legitimen Webadressen (fälschliche Vermutung, dass zweite Webadresse eine Phishing-Webadresse darstellt)

62 Lektion 9: Weitere Hinweise Helfen Sie uns das Internet sicherer zu machen! legitime Webadressen können aussehen wie Phishing wichtig zu wissen, wie Wer-Bereiche der echten Webseiten aussehen entsprechendes Unternehmen oder entsprechende Bank kontaktieren! Kontaktdaten mit Hilfe von Suchmaschine herausfinden niemals Kontaktdaten verwenden, die auf einer potentiellen Phishing-Webseite angegeben werden 62

63 Lektion 9: Weitere Hinweise Anklicken von Links kann gefährlich sein! Webadressen erkennen Vor dem Klicken z.b. Link in einer , einer SMS, einem QR Code, einer Facebook Nachricht,. Webadresse vor dem Klicken prüfen Schadsoftware durch Klick auf bösartige Links i.d.r. im Webkontext auf die Anzeige links unten im Browser Web-Adressen mit QR Code Scanner kritisch Empfehlung: Privacy-Friendly QR Code Scanner der SECUSO-Gruppe 63

64 Viel Erfolg beim Aufdecken von Phishing-Seiten in Zukunft! Kontakt: 64