Networksecurity.fi Weblog - Juha-Matti Laurio

Nordean konekäännösphishing päivitetty vuoden 2005 kooste-entryyn

Alkuviikosta suomalaissähköposteihin levinnyt tökerö Nordea-phishingviesti on lisätty koostetyyppiseen kirjoitukseen, jonka olen laatinut kolme ja puoli vuotta sitten.

Tässä ote harvinaisen tökeröstä konekäännöstekstistä:

Hyvä Nordea Asiakkaat

Koska huolta, että turvallisuus ja koskemattomuus Nordea huomioon olemme laati tämän varoituksen

Se on tullut, että teidän Nordea-tilin tiedot on saatettava ajan tasalle on osa jatkuvaa sitoutumista suojella tilillesi tänä vuonna 2009 ja vähentää esimerkiksi petosten sivuillamme.

Huijausviestien kohdeosoite oli tällä kertaa www . verkkopankki-nordea.hostzi.com.

Microsoftin palkintoilmoitukseksi naamioitu viesti on tuttua tökerösuomea

Konekäännetyillä huijausviesteillä kalastellaan käyttäjän nimeä, osoitetta, puhelin- ja faksinumeroa, maata ja sukupuolta nyt Microsoftin nimissä.

Palkintosumma on mojovat 150 000 puntaa - tai kuten viesti kertoo

Sata ja viisikymmentä tuhatta Great British Paunaa Sterling.

Otsikko on perinteinen, enemmän englantia kuin suomea sisältävä MICROSOFT EMAIL PROMO: OFFICIAL PALKINTO NOTIFICATION.

Näin pitkänäperjantaina yksityissähköpostiin tulleen viestin headerit paljastavat lähettäjän IP-osoitteeksi osoitteen 41.220.75.3, joka kuuluu MTN Nigerialle.

Teksti vain huipentuu loppua kohden:

Your salaisuus nastainen koodi on ML0757985.Be varoitti, että tapaukset kaksinkertaisen saamiset ja aiheettomiin väärinkäyttävät tätä ohjelmasta tulee oikeudellisesti nähden.

Voisiko tuon vakuuttavammin sanoa!

Puolustusvoimien tunnuksia kalasteltu

Suomen puolustusvoimien käyttäjiltä on viime syksyn aikana kalasteltu sisäisen tietojärjestelmän tunnuksia ja salasanoja.

Asiasta kertoo puolustusvoimien tiedotuslehti Ruotuväen vuoden ensimmäinen numero.

Kalasteluyritys tapahtui väärennetyistä, puolustusvoimien käyttämistä mil.fi-muotoisista sähköpostiosoitteista. Viestissä udeltiin käyttäjältä käyttäjätunnusta ja salasanaa mil.fi-käyttäjätilin vahvistamista varten.

Puolustusvoimien Johtamisjärjestelmäkeskuksen tiedottaja Mari Hienonen korostaa lehdessä, ettei keskus koskaan pyydä käyttäjien tunnuksia ja salasanoja käyttäjiltään.

Aikaisemmin puolustusvoimien sähköposteista on yritetty kalastella esimerkiksi käyttäjätunnuksia, salasanoja ja luottokorttinumeroita, jatkaa kirjoitus. Nyt yritys kohdistui nimenomaan puolustusvoimien käytössä olevan tietojärjestelmän tunnuksiin.

Huijauksen kieli ei tiedossa

Ruotuväki ei kerro millä kielellä huijaussähköpostit oli laadittu.

Tietoturvariskejä vastaan on varauduttu puolustusvoimissa teknisin ratkaisuin, valvonnalla sekä ohjeistamalla käyttäjiä. Lisäksi puolustusvoimien ydintoiminnan kannalta tärkeät järjestelmät ovat teknisesti erillään yleisestä verkosta.

Verkkourkinta- eli tietojen kalastelutapaukset alkoivat Suomessa loppuvuonna 2005. Kohteena ovat olleet lähinnä suomalaispankkien asiakkaat.

Nordea-phishingillä ongitaan luottokorttinumeroa ja PIN-koodia

Viikonloppuna alkanut huijauskampanja kalastelee suomalaissähköpostien käyttäjiltä luottokorttinumeroa sekä viimeistä voimassaolokuukautta, kortin takapuolella olevaa CVV-tunnusta ja pankkiautomaattikäyttöön tarvittavaa tunnuslukua.

Huijaussivu ADSL-liittymässä Btopenworld.com-verkossa näyttää hakevan mm. Nordean logot samalta palvelimelta missä itse huijaussivu on. Ainoastaan vasemmassa yläkulmassa oleva Nordean logo johtaa Nordea.com:iin.

Sivu toimii tälläkin hetkellä, mutta ainakin Firefoxin ja uusimman Safari 3.2:n phishing-estot torppaavat sivun.

Phishing-viestejä on kolahdellut suomalaissähköposteihin nyt yli kolmen vuoden ajan.
Päivitys 20.11.: Sivusto on saatu hengiltä myöhään tiistai-iltana.

APWG: Perinteinen sähköpostikalastelu vähentynyt

Sitten phishingin historian että Anti-Phishing Working Groupin toiminnan on viimeisimmän APWG-raportin [PDF] jakama tieto harvinaista laatuaan. Phishing-sivustojen määrä on nimittäin vähentynyt.

Ennen kuin helpotuksen huokauksia voi kuitenkaan päästellä on todettava, ns. crimeware-havaintojen määrä on seurantajaksolla tammi-maaliskuu 2008 puolestaan kohonnut kaikkien aikojen ennätykseen.
Kehittelin ko. viime torstain verkkouutisessa crimewarelle suomenkielisen termin kaappausohjelma.

Raportti seuraa myös kohdeorganisaation nimen esiintymistä osana  huijaussivuston nimeä. Jossain muodossa esimerkiksi pankin nimi on verkko-osoitteessa enemmän kuin joka neljännessä tapauksessa. Eniten huijaussivustoja on vuoden ensimmäisen neljänneksen aikana ollut yhdysvaltalaisilla, venäläisillä ja kiinalaisilla palvelimilla. Kasvussa ovat Kanada sekä Eurooppaa edustavat Ranska ja Saksa, jatkaa raportti.

Netti.fi-tunnusten suomi-phishing harvinaisen sinnikästä

Saunalahden Netti.fi-sähköpostitunnusten kalastelu on jatkunut kiivaasti jo alkukeväästä lähtien.

Viestien siirryttyä suomenkielisiksi on niitä sadellut sähköpostilaatikoihin jopa useita päivässä. Esimerkki tänä iltana saapuneesta viestistä on tässä:

Lähettäjä:
The netti webmail-tili tiimi  <info at netti.fi>

Otsikko:
Vahvista netti webmail-tili

Viestiosuus:
Hyvä webmail.netti.fi asiakas,

Tämä viesti on webmail.netti.fi messaging center kaikille spostitili owners.We ovat tällä hetkellä päivitystä tietojen perus-ja e-mail tili keskustassa ja olemme poistamalla kaikki käyttämättömät webmail.netti.fi spostitili luoda enemmän tilaa uusia tilejä.

Hyvä yritys vaihtaa suomen kielelle ääkkösineen, mutta kovin on tökeröä kieltä viestien sisältö. Pohjana näyttää olevan maaliskuisessa entryssäni esitelty viesti.

Eräänlainen lomake tietojen kysymiseksi on puolestaan tällainen:

Sähköposti Käyttäjätunnus: .......... .....
Sähköposti Salasana: ................
Date of Birth: .................
Maa tai alue: ..........

Kun englanninkielisissä viesteissä tiedot pyydettiin (turvallisuussyistä!) hotmail-osoitteeseen eivät suomenkieliset viestit kerro vastausosoitetta laisinkaan. Linkkiä huijaussivustoille ei myöskään ole käytetty. Näkyvä lähettäjäosoite on tuo info @ netti.fi, mutta teknisesti Reply-To-osoite on account-teamdept @ live.com.

Reilu viikko sitten saapunut viesti käyttää vastaavasti hieman poikkeavaa Aihe-riviä ja tekstimuotoa:

Hyvä netti Käyttäjät,

Tämä viesti on netti messaging center kaikille spostitili owners.We ovat Tällä hetkellä päivitystä tietojen perus-ja e-mail huomioon center.
....

Vastaus lähtee nyt osoitteeseen netti @ mail2consultant.com.

Kaiken kaikkiaan huijauskampanjat näyttävät alkeellisesti toteutetuilta.

Saunalahden Netti.fi-salasanoja kalasteltu

Viime päivinä Saunalahden asiakkaiden netti.fi-osoitteisiin on saapunut englanninkielisiä viestejä, joissa udellaan sähköpostitilin salasanaa. Viestit väittävät tilejä poistettavan levytilan vapauttamiseksi ja ellei tietoja anneta viikon kuluessa väitetään postitilin poistuvan käytöstä. Viestien otsikoina on ainakin ATTENTION NETTI USERS ja VERIFY YOUR EMAIL ACCOUNT NOW.

Tässä ote viestistä:

CONFIRM YOUR EMAIL IDENTITY BELOW

Email Address : .......... .....
EMAIL Password : ................
Date of Birth : .................
Country or Territory :...........

Warning!!! Account owner that refuses to update his or her account
within Seven days of receiving this warning will lose
his or her account permanently.

Aikaisemmin kalastelu on Suomessa kohdistunut muun muassa Mbnet.fi-osoitteisiin.

Sampo Pankin sivuilla phishingin salliva aukko

Eilen uudistuneilla Sampo Pankki -sivuilla on vakava aukko, joka sallii luotettavan näköisen verkkopankki.sampopankki.fi-alkuisen linkin avulla houkutella sähköpostissa huijaussivustolle.

Esimerkki XSS:ää hyödyntävästä JavaScript-linkistä on tässä. URL on niin pitkä, ettei kohdelinkki näy useimimssa sähköpostiohjelmissa eikä selaimen tilarivillä.

Linkki vie Nordean etusivulle.

Päivitys: Turva-aukko on entryn julkaisemisen aikoihin korjattu ja linkki johtaa tyhjälle blank.htm-alasivulle.

Nordea-phishingiä pitkän tauon jälkeen

Tällä viikolla on jälleen nähty Nordean asiakkaita vastaan suunnattu phishing-hyökkäys. Viestit ovat olleet englanninkielisiä.

Kooste-entryni talvelta 2006 on päivitetty sisältämään tämä hyökkäys. Taukoa edelliseen hyökkäykseen ehti olla lähes vuoden verran.

Huijatuilla tiedoilla tehtiin jatkohuijauksia

CRM-toimija Salesforcen työntekijältä phishing-huijauksella saaduilla tunnuksilla on hankittu tietoja toisia kalasteluhuijauksia varten.

Washington Postin mukaan Salesforce myöntää yhden työntekijänsä langenneen phishing-huijaukseen, jonka avulla hyökkääjä sai pääsyn yhtiön asiakastietokantaan. Myös Suomessa viime kuusta lähtien asiakkuudenhallintaa verkkopalveluna tarjoava yhdysvaltalainen Salesforce.com mainitsee referensseikseen AOL:n, Ciscon, Kone Oy:n, Postinin, Symantecin, Vodafonen ja Xeroxin.

Tiedot on viety kolmisen viikkoa sitten huijauksissa, joissa kohteina oli myös SunTrust-pankki. Huijausviestissä olleen linkin klikkaaminen asensi työasemaan näppäilytallentimen eli keyloggerin, joka kerää kirjautumistunnuksia ja salasanoja selaimesta huomaamatta ja lähettää ne hyökkääjälle.

Yhtiön sivuilla julkaistun tiedotteen mukaan tietoihin sisältyi etu- ja sukunimi, organisaatio, sähköpostiosoite ja puhelinnumero sekä Salesforcen käyttämää hallintatietoa. Pieni määrä asiakkaista on luovuttanut salasanansa huijausviestin lähettäjälle, jatkaa tiedote.

Tapauksilta voi suojautua varovaisuuden avulla. Yhdysvaltalainen Supervalu-vähittäiskauppaketju myönsi aikaisemmin tässä kuussa joutuneensa erikoisen huijauksen kohteeksi, jossa se maksoi hankkimiaan tuotteita huijareiden tilille. Toimittajayritykseltä saapuneeksi väärennetty sähköpostiviesti ilmoitti muuttuneesta tilinumerosta. Rahat on FBI:n avulla saatu takaisin.

S-Pankin domain-varaukset jääneet kesken

Näyttää siltä, että toissapäivänä aloittanut SOK:n S-Pankki ei ole hoitanut phishingiltä suojautumiseen kuuluvaa domain-varausoperaatiota täydellisesti.

Verkko-osoitteet spankki.fi ja s-pankki.com, s-pankki.net ja s-pankki.info on kyllä varattu, mutta vapaana ovat muun muassa phishing-huijausten alkuaikoina käytettyihin tekniikoihin perustuvat s-pankk1.com, s-pankk1.net ja s-pankk1.org. Tilanne on sama isojen kirjaimien käyttöön perustuvassa 5-PANKKI.COM-varauksessa.

Myös verkkotunnukset s-pankk1.fi, 5-pankki.fi ja s-panki.fi ovat vapaina.

Pankin verkkopankki noudattaa käytäntöä, jossa pelkällä käyttäjätunnuksella ja avainluvulla voi kirjautua palveluun. Pankkitulokas kutsuu avainlukuja termillä kertakäyttöinen tunnusluku.

Englanninkielinen Nordea-phishing meneillään

Viestien huijauslinkki on tällä kertaa muotoa

nordea.com.sitemod.....tw/confirm/portal.aspx/login

eli kohdepalvelimen osalta jäljet johtavat Taiwaniin. Siitä ei kuitenkaan voi eikä kannata kampanjan alkuperän suhteen tehdä mitään johtopäätöksiä.

Nordea-phishingiä satelee päivittäin

Suomalaisiin sähköposteihin on tullut Nordea-pankkia koskevia huijausviestejä nyt yhtäjaksoisesti yli kahden viikon ajan.

Huijausskampanjan toteuttajalla on selkeästi Rock Phish -työkalut käytössään.

Nordea on jopa poistanut kampanjaa koskevan varoituksen etusivultaan.

Esimerkiksi eilen tulleet viestit on otsikoitu Nordea - important information! -Tue, 24 Apr 2007 01:42:53 -0800.

Nordea-huijausviestejä pukkaa

Eilen ja tänään on saapunut viikon alkupuolen phishing-huijaukseen liittyviä viestejä, jotka johdattavat esim. tälle huijaussivulle. Otsikko on esim. Nordea: important account notification! [Sat, 14 Apr 2007 19:46:46 -0800].

Nordea ei etusivuillaan varoittele erityisesti asiasta, joten kyseessä lienevät saman tapauksen jälkimainingit. Myös sivusto näyttää samalla Rock Pish -työkalulla laaditulta.

Nordea-phishing meneillään

Suomalaisiin sähköpostiosoitteisiin on lähetetty mm. seuraavalla otsikolla varustettuja englanninkielisiä kalasteluviestejä:

Nordea - 0fficial information! [Tue, 10 Apr 2007 01:44:50 -0800]

Viestit ovat saapuneet klo 11:44.

Maaliskuussa ensimmäistä kertaa nähty sijaintimaata kysyvä kalastelusivu on edelleen toiminnassa.

Päivitän Phishing-kategorian kooste-entryn piakkoin.
Klo 14:45: Kooste täydennetty ja uutinen tapauksesta Tietoviikon sivuilla luettavissa.

Nordea-huijaussivuja yhä hengissä

Niin uskomattomalta kuin se kuulostaakin on esimerkiksi seuraava päättyneen viikon Nordea-phishingissä käytetyistä sivustoista vielä toiminnassa:
http://uee7hf.hk/client.aspx/

Ei voi sanoa että Nordea olisi saanut prosessinsa hiottua kuntoon...

Päivitys: Maanantaina klo 15 sivusto on edelleen hengissä ja kyselee kymmenen eri maan Nordea-verkkopankin tunnuksia.

Englanninkielinen phishing-huijaus Nordean asiakkaita kohtaan

Viime yönä alkoi kuluvan vuoden ensimmäinen suomalaisasiakkaita kohtaan suunnattu phishing-huijaus.

Huijaussivustoja on käytössä useampia ja ne utelevat käyttäjän nimeä, puhelinnumeroa, verkkopankin käyttäjätunnusta sekä kymmentä seuraavaa käyttämätöntä vahvistustunnusta (kertakäyttösalasanaa).

Tässä blogissa oleva suomalaispankkien asiakkaisiin kohdistuneita hyökkäyksiä käsittelevä kooste-entry on nyt päivitetty sisältämään uusin kalastelutapaus.

American Expressin sivuilla phishing-aukko

Luottokorttiyhtiö American Expressin verkkosivuilta on löytynyt phishing-huijaukset mahdollistava turva-aukko. 16-vuotias italialainen Andrea Giuliani havaitsi (italiankielinen blogi), että sivustolla olevalle intl_ads_redirect.jsp-käskylle pystyi antamaan parametriksi myös americanexpress.com:n ulkopuolisen osoitteen.

MikroPC-verkkouutiseni täällä, suomeksi ;=D.

Aukon todentamiseksi on laadittu myös kaksi esimerkkilinkkiä (ital. blogi).

Lainatarjousta pukkaa

Tässä esimerkki viime aikoina yleistyneistä lainaa tarjoavista sähköposteista, joiden tarkoituksena on tietenkin kerätä hyväuskoisten vastaanottajien tietoja:

Lähettäjä: Academy Finance <meeshmouse2067 [at] octosys.co.uk>

Vastaanottaja: jukka.karjalohja@samadomainkuinminulla.fi, joonas.kaarela@.., joku_@.., joe.montana@..

Aihe: Your approval is waiting Wed, 15 Nov 2006 07:02:49 -0800

Itse viestiosuus on seuraavanlainen:

Are you tired of paying high interest rates?

You have been pre-approved.
You can receive up to $265.000 for
as low as $677 per month!

Complete our short form:
http://trustsnew.com

Jim Bartlett
Home Loan Service Ctr

Tuo Trustnew.com näkyy käyvän ja kukkuvan ja toimivan City Telecom (H.K.) Ltd.:n verkossa Hong Kongissa. Taidanpa ryhtyä pupputietoa lomakkeeseen täyttämään. LowestMortgageQuotes - onpa hieno sana!

Eikö kannattaisi käyttää BCC-toimintoa jos viesteistä haluaa uskottavan?

Viesti on lähetetty melko harvinaista TWIG 2.6.2 -maileria käyttäen ja on käynyt esimerkiksi  ppp91-76-76-118.pppoe.mtu-net.ru-nimisellä koneella Moskovassa.

Nordea-huijaus vetosi Ruotsissa arpajaisiin

Ruotsin Nordean nimeä on käytetty verkkoarpajaisissa asiakkaiden tietojen kalasteluun.

Asiakkaita on lähestytty ruotsinkielisillä huijausviesteillä, joissa kerrotaan mahdollisuudesta voittaa esimerkiksi auto tai kannettava tietokone pankin järjestämissä arpajaisissa. Viesti alkaa Dagens Nyheter -lehden verkkoversion mukaan otsikolla "Vi gratulerar alla våra kunder på Bankens jubileum!".

Suuntaus on täysin uusi ja voiton tarkistamiseksi on verkkopankin kirjautumistiedot syötettävä väärennetylle verkkosivustolle. Huijausviestin kieli on melko sujuvaa ruotsia ja viesti käyttää monista lokalisoiduista huijausviesteistä poiketen esimerkiksi ääkkösiä.

Huijaustapaus alkoi yhtä aikaa suomalaisasiakkaita vastaan suunnatun phishing-hyökkäyksen kanssa. Tällä hetkellä ei vielä ole tietoa ovatko tapausten takana samat tahot.

Ruotsin Nordea-pankin tiedotuspäällikön Bo Ehlinin mukaan pankilla ei ole mitään tekemistä viestien kanssa.