Heute sprechen uns gefälschte E-Mails persönlich an!

Das täglich Abrufen neuer E-Mails, gestaltet sich bei dem ein oder andern Anwender immer mehr als unnötige und nervenden Zeitaufwand. Mindestens 20 unnötige Spam-Mails aller Art, wollen dabei aussortiert und gelöscht werden. Schnell schleicht sich dabei eine gewissen Oberflächlichkeit bei der Durchsicht des Posteingangs ein, die dann sehr leicht zur potenziellen Gefahr werden kann.
Wir reden hier nicht von kommerziellen nervigen Massen-Spam, oder unerwünschten und zudem verbotene Werbe-Kampagnen, sondern von Gefahren die durch merklich steigende Anzahl an E-Mails verursacht werden, die kaum von den Originalen unterschieden werden können. Weiterführender Beitrag “Sparkassen-Phish spricht mich persönlich an“.

E-Mails sind weltweit immer noch der Infektionsweg Nummer eins!

“Spear-Phishing” auch als sehr gezieltes Phishing bekannt, wird mittlerweile sehr erfolgreich von Kriminellen eingesetzt, um ganz bestimmte Ziele in Unternehmen und privaten Bereichen durchzusetzen. Dabei wird über längeren Zeitraum “Social Engineering” bei einzelnen Personen oder Gruppen betrieben, um mit detaillierten Informationen, den Empfänger zum öffnen eines schädlichen Dateianhangs bzw. zum Klicken einer Verlinkung mit Download einer Infektion zu verleiten.

Spear-Phishing erfolgreich den je – Warum arbeiten Kriminellen nicht schon immer so?!

Wer kennt nicht den Geniestreich des “Hochstaplers” Friedrich Wilhelm Voigt alias “Hauptmann von Köpenick“, der sich mit auf dem Trödel gesammelter Kleidung, als Hauptmann verkleidete und mit autoritären Auftritt, Soldaten abkommandierte und mit Ihnen das Rathaus in Köpenick stürmte und den Bürgermeister verhaften lies.

Zielorientierte psychologische Manipulation und Ausnutzung fundamentaler menschlicher Verhaltensweisen!

Die Motivation für diese Angriffe können ganz unterschiedlich Natur sein, neben professionellen Gründen wie Industriespionage oder Identitätsdiebstahl kommen auch soziale Gründe wie Rache z. B. durch ehemalige Mitarbeiter oder einfach nur Spaß und Überlegenheit in Frage. Dazu kommt noch, dass es in der heutigen Zeit schon fast zu einfach ist, an bestimmte Informationen für potenzielle Ziele zu gelangen.
Alleine auf einem normalen Unternehmens-Webauftritt bekommt man in der Regel alle nötigen Informationen zu einem bestimmten Ansprechpartner, u.a. die E-Mail, den Namen und die Position im Unternehmen. Mit diesen Daten wird eine authentisch wirkende Email erstellt und z.B. durch Ausgabe als Administrator der Firma, ein Passwortwechsel bei dem Mitarbeiter anfordert. Dazu soll ein eingebetteten Link in der E-Mail geklickt werden, der den Mitarbeiter auf eine präparierte Seite führt. Dort soll sich mit Benutzernamen und Kennwort angemeldet, oder eine Malware heruntergeladen werden. Und das war schon, fällt das Opfer darauf herein, sind dem möglichen Angreifer alle Türen und Tore geöffnet!

so einfach lassen sich Anwender aber auch nicht täuschen!

Ist dem Empfänger der Absender nicht vertraut, wird weder auf Inhalte geklickt, noch Anhänge geöffnet und der “Spam” landet im Papierkorb. Der Erfolg einer Spear-Phishing Attacke beruht deshalb auf wesentlich Inhalte:
[su_note note_color=”#ff6633″ text_color=”#00000″ radius=”2″]

1. Der Absender ist dem Empfänger bekannt bzw. eine vertrauenswürdige Person z.B. aus dem privaten Bereich.
2. Glaubwürdige Informationen bzw. unterstützende Angaben in der E-Mail.
3. Logische Gründe in der E-Mail lassen sich erschliessen.
   [/su_note]

Beispiel: “So können perfekt gestaltete E-Mails aussehen, welche genannte Gründe beinhalten!”

E-Mail von bekannten Absender, korrekten Vor -und Zunahmen, diversenrichtigenAdressdaten und Kundendaten, grammatikalisch richtig und sehr gut formulierten Text. Zudem werden gefälschten E-Mails gerne im guten Namen des Vorgesetzten verfasst – Gibt beim Mitarbeiter so einen gewissen Nachdruck z.B. den Anhang bzw. eingebetteten Link zu klicken.
Beitrag: Barbie Hersteller Mattel fiel Phishing-Attacke zum Opfer
Zudem kommen noch Unscheinbare, aber dennoch infizierte Anhänge
Dabei setzen die Kriminellen nicht auf plumpe .EXE Formate, alleine 70 Prozent der Anhänge (Trend Micro) werden in unternehmensüblichen Microsoft Office Format wie (z. B. .XLS, .PDF, .DOC, .DOCX usw.) verfasst. Um an Sicherheitsprogrammen vorbei zu kommen, werden auch gerne passwortgeschützte Archive verwendet, deren Passörter im Text der E-Mail hinterlegt werden.
Tipp von botfrei.de: Cyberkriminelle wissen längst, dass gezielte Angriffe z.B. mit SpearPhishing auf ein Unternehmen meist nur dann erfolgreich sind, wenn man das schwächste Glied angreift – Mitarbeiter, die wenig IT-affin sind und den eigenen Arbeitscomputer meist nur als Werkzeug ansehen. Lesen Sie dazu den weiterführenden Beitrag „Das schwächste Glied“.
Wir möchten alle unsere IT-sicherheitsbewussten Leser dazu ermuntern, diese Thematik – die regelmäßige Schulung und das Stärken des IT-Sicherheitsbewusstseins – bei Ihren Arbeitgebern anzusprechen und darauf hinzuweisen, dass Vorsorge stets besser als Nachsorge ist. Einzig und allein auf einen umfassenden Schutz anhand von Technik zu setzen, kann schnell zu einem Eigentor führen!
Lesen Sie weiterführenden Beitrag auf unserem Blog: Was ist eigentlich Phishing?
Was kann ich tun?

1. Seien Sie kritisch beim lesen dubioser E-Mails und deren Anhänge, geben Sie niemals auf hinter Links befindlichen Webseiten persönliche Daten weiter.
2. Wenn Sie sich nicht sicher sind, ob Sie evtl. schon Opfer dieser Phising-Attacke geworden sind, ändern Sie die Zugangsdaten.
3. Überprüfen Sie den Rechner auf evtl. Infektionen mit unseres kostenfrei bereitgestellten Entfernungstool.

Bilder: freedigitalphotos.net