Další phishing na webmail: 9 zpráv, které nejsou
Před měsícem jsme tu rozebírali phishing na webmail, kterému prý nechodila pošta. Tenhle je jeho mladší sourozenec: prý na nás čeká devět nedoručených zpráv. Přišel v noci na 15. října, pár hodin po kupní smlouvě z budoucnosti, na stejnou adresu. A jak uvidíte, s tou smlouvou má společného víc než jen adresáta.
Trik č. 1: naše vlastní jméno. Odesílatel se jmenuje „pcrada.cz
Support“, tedy podpora pcrada.cz. To je naše původní doména, dnes
přesměrovaná na itrady.cz, a zpráva šla na info@pcrada.cz. Útočník
vzal doménu z adresy příjemce a udělal z ní podporu.
Stejný trik jsme tu viděli už v září.
Skutečná adresa je admin@yglycd.com. Pět písmen bez smyslu. Doména
existuje od roku 2013, údaje v registru se jí měnily 14. října, tedy
v den rozesílky. A když jsme ji o dva dny později kontrolovali, už
neodpovídala ani na dotazy DNS. Vypadá to na doménu na jedno použití.
A teď tělo zprávy:
Trik č. 2: předmět o jednom, tělo o druhém
Předmět slibuje devět nedoručených zpráv. Tělo o nich neřekne ani slovo. Místo toho píše o „povinném upozornění“, o nutnosti aktualizovat účet a potvrdit, že je ještě aktivní, a nakonec vyhrožuje, že adresu do 72 hodin zruší.
Jsou to dvě návnady naráz. Předmět má vzbudit zvědavost: co když je mezi těmi devíti zprávami něco důležitého? Tělo pak přidá strach. Kdo zprávu otevře kvůli předmětu, uvidí výhrůžku a už nepřemýšlí, kam se poděly slíbené zprávy.
Filtr na našem serveru si mimochodem v předmětu všiml slov typických pro hlášení o nedoručení. Zprávu přesto pustil dál.
Trik č. 3: oslovení „info“ a podpis nikoho
„Hello info“. Automat vzal začátek adresy a udělal z něj jméno, stejně jako u kupní smlouvy, kde stálo „Dear info“. Na konci je „Best regards,“ a pak nic. Pod pozdravem chybí jméno, firma i kontakt. Pozdrav je dokonce jiným písmem než zbytek zprávy, protože ve zdrojovém kódu stojí mimo odstavce, které mají písmo nastavené.
Ve zdrojovém kódu je vidět ještě jedna věc. Každý odstavec nese hromadu
stylů, které by nikdo ručně nepsal: position: static !important,
-webkit-text-stroke-width a další. Takhle obvykle vypadá text
zkopírovaný z prohlížeče. Podvodník si ho odněkud vypůjčil a slepil.
Trik č. 4: tlačítko s naší adresou na konci
Tlačítko UPDATE NOW vede na okomanifeoko.edgeone.dev. Vypadá to na
hosting, kde si adresu typu cokoli.edgeone.dev založí kdo chce. S poštou
ani s naší doménou to nemá nic společného. Na konci odkazu je zase
#info@pcrada.cz, tedy adresa, kterou si podvodná stránka předvyplní,
aby působila důvěryhodně. Odkaz jsme rozebrali jen z textu zprávy,
neotevřeli jsme ho.
Trik č. 5: stejný rukopis jako u smlouvy
Dvě zprávy během jednoho večera a noci, jeden adresát, dva různí odesílatelé. A přitom stejný rukopis:
- obě oslovují „info“ podle adresy,
- obě mají na konci odkazu
#info@pcrada.cz, - obě mají v hlavičce časové pásmo −7 hodin,
- obě mají identifikátor zprávy ve stejném tvaru: datum, čas, tečka
a šestnáct znaků (
20261014143817.5AB91C0F…).
Nejspíš je posílal tentýž rozesílací program. Jestli i tentýž člověk, zvenku nepoznáme.
Proč to prošlo filtry? Protože bylo všechno „v pořádku“
Tady je to zase jako u upomínky od Webglobu.
Podle záznamu, který si k zprávě při doručení připsal filtr na našem
serveru, prošla zpráva všemi kontrolami. SPF server odesílatele
povolilo, elektronický podpis DKIM seděl a DMARC měla doména yglycd.com
nastavený dokonce na nejpřísnější „odmítnout“ (p=reject). Nejpřísnější
pravidla na doménu, která o dva dny později přestala odpovídat. Sami už
to dnes neověříme, právě proto, že neodpovídá.
Poučení zůstává: zelená fajfka říká, odkud zpráva přišla. Ne kdo ji poslal a proč.
Co s tím?
- Chcete vědět, jestli vám něco nevázne? Otevřete si webmail sami, z vlastní záložky. Kdyby se opravdu něco dělo, uvidíte to tam.
- Schránka se nemaže za 72 hodin kvůli nepotvrzení. Aktualizaci účtu přes odkaz v e-mailu po vás nechce žádný poskytovatel.
- Předmět, který nesedí s textem, je podezřelý sám o sobě.
- Jméno odesílatele není adresa. „pcrada.cz Support“ si může napsat kdokoli. Čtěte doménu za zavináčem.
- Zadali jste heslo? Změňte ho, odhlaste ostatní zařízení a hlavně zkontrolujte přesměrování a filtry ve schránce. Celý postup najdete v článku o prvním falešném webmailu.
A to je vše! Devět zpráv, které neexistují, schránka, která se nezruší, a „podpora naší domény“ na pětipísmenné doméně, která už neodpovídá. Nic nového, jen v novém kabátě. Mějte se fanfárově a na nic neklikejte. 🙂