VirusTotal<\/a> pr\u00fcfen zu lassen. Das Ergebnis ist ern\u00fcchternd, kein einziger der Virenpr\u00fcfer meldet das Ganze als sch\u00e4dlich (malicious) \u2013 nur bei Quttera kommt der Hinweis, dass der Link \"verd\u00e4chtig\" (supicious) sei.<\/p>\n![\"Phishing](\"https:\/\/i.postimg.cc\/zBmZ2g2Z\/5hwUR4v.png\"\/ "\\"Phishing")
<\/p>\n
Daf\u00fcr gibt es zwei Erkl\u00e4rungen: Die Zielseite erkennt virustotal.com<\/em> und gaukelt eine saubere Seite vor. Oder die Sicherheitsanbieter, die auf VirusTotal involviert sind, scannen das Ganze nicht vollst\u00e4ndig (den Verdacht hege ich bereits l\u00e4nger, da mir dies bei Analysen aufgefallen ist, wo ich die Gesamt-URL und Teil-URLs scannen lie\u00df und unterschiedliche Ergebnisse angezeigt bekam). Die in obigem Screenshot angezeigte URL deutet m\u00f6glicherweise auf so etwas hin. Sollte man auf jeden Fall im Hinterkopf behalten, wenn man sich zu einer Pr\u00fcfung aufrafft. <\/p>\nZweite Pr\u00fcfung mit Sandbox-Seite<\/h3>\n
Um gefahrlos zu testen, was auf der Zielseite passiert, versuche ich online \"sandboxed pishing\" Pr\u00fcfseiten (z.B. checkphish.ai, bei anyrun.com braucht man schon eine Anmeldung) zu verwenden. Die checkpish.ai<\/em>-Seite erm\u00f6glicht eine Analyse pro Tag und hat dann bei der Pr\u00fcfung der Zielseite folgendes gemeldet.<\/p>\n![\"Check](\"https:\/\/i.postimg.cc\/vmrYwy1N\/JrCe7Jt.png\"\/ "\\"Check")
<\/p>\n
War ern\u00fcchternd, die Seite meldet, dass alles in Ordnung sei. Offenbar wird nur der erste Teil der URL mit ausgewertet \u2013 m\u00f6glicherweise, weil die Zielseite die Sandbox erkennt und den Redirect nicht anwendet. Das Opfer bekommt dann die Microsoft Anmeldeseite zu sehen.<\/p>\n
![\"Microsoft](\"https:\/\/i.postimg.cc\/L8hDW4Wm\/UUJl1IF.png\"\/ "\\"Microsoft")
<\/p>\n
Da die Analyse des Phishing-Links einen Redirect ergab, kann ich an dieser Stelle nicht genau sagen, ob die Sandbox Mist macht, oder ob die Zielseite den Analyseansatz erkennt und keinen Redirect vornimmt. Jedenfalls sollten alle Alarm-Glocken an dieser Stelle l\u00e4uten \u2013 denn im d\u00fcmmsten Fall werden die Anmeldedaten f\u00fcr das Microsoft-Konto von den Phishern abgegriffen. Im d\u00fcmmsten Fall k\u00f6nnte auch Malware \u00fcber die Zielseite an die Opfer ausgeliefert werden. <\/p>\n
Was mir auch noch aufgefallen ist: Auf der gleichen IP wie login[.]microsoftonline[.]com <\/em>werden laut checkphish.ai<\/em> die nachfolgenden Domains gehostet. K\u00f6nnte nat\u00fcrlich sein, dass eine Firma da ihre URL f\u00fcr die Firmendomain eingibt, um irgend etwas mit einer Microsoft-Anmeldung zu versuchen. Die Links sind f\u00fcr mich daher verd\u00e4chtig, da sie sich auf einer login[.]microsoftonline[.]com <\/em>-IP finden und nun gar nichts mit Microsoft zu tun haben. <\/p>\n![\"hosted](\"https:\/\/i.postimg.cc\/zBkPrtFN\/KQTjo1F.png\"\/ "\\"hosted")
<\/p>\n
Beim Versuch, einzelne Links aufzurufen, habe ich festgestellt, dass diese entweder tot sind (der Browser zeigt \"Not Found\" an), oder auf die Microsoft-Anmeldeseite verweisen (siehe beispielsweise nachfolgender Screenshot). <\/p>\n
![\"Microsoft](\"https:\/\/i.postimg.cc\/4xNVdJkj\/T7doI1m.png\"\/ "\\"Microsoft")
<\/p>\n
Die Phisher sind meiner Einsch\u00e4tzung nach also weiterhin aktiv. Dann habe ich mal direkt die Seite docusafe[dot]zip<\/em> aufgerufen, um zu testen, was da passiert. VirusTotal meldet mir nach Pr\u00fcfung durch 90 Sicherheitsanbieter, dass die Zielseite \"clean\" sei \u2013 ersch\u00fctternd. Bei den Sandbox-Seiten h\u00e4tte ich mich anmelden m\u00fcssen \u2013 was ich nicht wollte. <\/p>\nDa ich (nach einigem \u00dcberlegen) die Seite docusafe[dot]zip<\/em> so eingestuft habe, dass die Betreiber dort nicht sofort sch\u00e4dliche Inhalte pr\u00e4sentieren (die wollen ja m\u00f6glichst lange unbehelligt bleiben und nicht durch VirusTotal & Co. als sch\u00e4dlich geflaggt werden), bin ich einen Schritt weiter gegangen und habe mir die Domain in einem Browser anzeigen lassen. Im Inkognito-Modus zeigt mir der Ungoogled-Browser aber bereits eine deutliche Warnung an \u2013 siehe folgender Screenshot.<\/p>\n![\"Phishing](\"https:\/\/i.postimg.cc\/WbMmfWTb\/q8LLOid.png"\" "\\"Phishing")
<\/a>
Warnung vor Phishing-Seite, zum Vergr\u00f6\u00dfern klicken<\/a><\/p>\nDie betreffende URL wurde offenbar schon von Dritten als Phishing-Seite gemeldet. Was mir unverst\u00e4ndlich ist: Wieso verf\u00fcgt VirusTotal nicht \u00fcber die gleiche Informationsbasis. An der Stelle habe ich aber meine Analyseversuche abgebrochen. Der Fall zeigt aber, dass die Phisher immer raffinierter werden und viele Sicherheitssysteme austricksen k\u00f6nnen. <\/p>\n
Vielleicht gibt es aus der Leserschaft ja noch Erkenntnisse bez\u00fcglich des Phishing-Ansatzes \u2013 speziell, was das Redirect auf login[.]microsoftonline[.]com <\/em>betrifft. Als Administrator w\u00fcrde ich versuchen, die Sicherheitssysteme so einzustellen, dass Links mit Verweisen oder Redirects auf zip-Domains gefiltert, geblockt und gemeldet werden. Oder wie w\u00fcrdet ihr das handhaben? <\/p>\n","protected":false},"excerpt":{"rendered":"[English]Ein Blog-Leser hat mich auf einen gut gemachten Phishing-Versuch per E-Mail aufmerksam gemacht, der das Thema Multifactor-Authentifizierung (MFA) aufgreift. Dabei wird suggeriert, dass die Mail von Microsoft selbst stammt (es wird eine Sub-Domain von Microsoft benutzt) und die Leute agieren … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-282576","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/282576","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=282576"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/282576\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=282576"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=282576"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=282576"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
![\"Sicherheit](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" "\\"Sicherheit")
[English]Ein Blog-Leser hat mich auf einen gut gemachten Phishing-Versuch per E-Mail aufmerksam gemacht, der das Thema Multifactor-Authentifizierung (MFA) aufgreift. Dabei wird suggeriert, dass die Mail von Microsoft selbst stammt (es wird eine Sub-Domain von Microsoft benutzt) und die Leute agieren sollen, indem sie das Thema MFA updaten. Ich habe den Fall versucht zu analysieren \u2013 das Ganze f\u00fchrt auf eine Phishing-Seite, die Microsoft Anmeldedaten abfischen will, aber von diversen Sicherheitssystemen nicht als sch\u00e4dlich erkannt wird. <\/p>\n![\"Phishing-Mail](\"https:\/\/i.postimg.cc\/9QFWyZKL\/FGHlLty.png\" "\\"Phishing-Mail")
<\/a>