Hoe cybercriminelen de antiphishing-oplossingen kunnen omzeilen

Gepubliceerd op 3 augustus 2021 om 15:00

Om zakelijke e-mailgegevens van werknemers van een bedrijf te stelen, moeten aanvallers eerst langs de antiphishing-oplossingen  op de e-mailservers van het bedrijf zien te komen. Vaak gebruiken ze legitieme webdiensten om niet op te vallen, en steeds vaker gaat het dan om Google Apps Script, een op JavaScript gebaseerd scriptingplatform.

De 'App script aanval'

Apps Script is een op JavaScript gebaseerd platform voor het automatiseren van taken binnen producten van Google (bijv. het maken van add-ons voor Google Docs) en in toepassingen van derden. Het is in feite een service voor het creëren van scripts en om deze vervolgens in de Google-infrastructuur uit te voeren.

In e-mailphishing gebruiken aanvallers deze dienst voor redirects. In plaats van de URL van een schadelijke website rechtstreeks in een bericht te plaatsen, kunnen cybercriminelen een link naar een script plaatsen. Op die manier omzeilen ze de anti-phishing-oplossingen van de mailserver, want een hyperlink naar een legitieme Google-site met een goede reputatie komt eenvoudig door de meeste filters heen. Een bijkomend voordeel voor cybercriminelen is dat onopgemerkte phishing-sites langer in de lucht kunnen blijven. Deze truc biedt aanvallers ook de flexibiliteit om het script zo nodig te wijzigen (voor het geval beveiligingsoplossingen aanslaan), en om te experimenteren met de levering van inhoud (bijvoorbeeld door slachtoffers naar verschillende versies van de site te sturen, afhankelijk van hun regio).

Het enige dat de aanvallers hoeven te doen, is ervoor zorgen dat gebruikers op een link klikken. Onlangs was het meest voorkomende voorwendsel een “volle mailbox”. Dat klinkt in theorie best plausibel.

Een typische phishing-mail met de “volle mailbox”-truc

De Microsoft Outlook 'App script aanval'

In de praktijk zijn aanvallers soms onzorgvuldig en laten ze tekenen van fraude achter die zelfs voor gebruikers die niet zo vertrouwd zijn met echte meldingen duidelijk zouden moeten zijn:

  • De e-mail lijkt van Microsoft Outlook te komen, maar het e-mailadres van de afzender heeft een buitenlands domein. Een echte melding over een volle mailbox zou van de interne Exchange-server afkomstig moeten zijn. (Bonusteken: in de naam van de afzender, Microsoft Outlook, ontbreekt er een spatie en er is een nul gebruikt in plaats van de letter O.)
  • De link die verschijnt als u met de cursor over “Fix this in storage settings” beweegt, leidt u naar een Google Apps Script-site:

E-maillink naar Google Apps Script

  • De limieten van mailboxen worden niet plotseling overschreden. Outlook waarschuwt gebruikers al lang van tevoren dat hun opslagruimte op begint te raken. Als die limiet plotseling met 850 MB is overschreden, zou dat waarschijnlijk betekenen dat u in één keer zoveel spam ontvangt, wat hoogst onwaarschijnlijk is.

Hoe dan ook, hier volgt een voorbeeld van een legitieme melding van Outlook:

Legitieme melding over een mailbox die bijna vol zit

  • De link met “Fix this in storage settings” verwijst naar een phishing-site. Hoewel het in dit geval een vrij overtuigende kopie is van de inlogpagina van de web-interface van Outlook, blijkt uit een blik op de adresbalk van de browser dat de pagina wordt gehost op een vervalste website en niet binnen de infrastructuur van het bedrijf.

Hoe voorkomen

Uit ervaring blijkt dat phishing-mails niet noodzakelijkerwijs phishing-links hoeven te bevatten. Daarom moet betrouwbare zakelijke bescherming anti-phishing-functies bevatten, zowel op het niveau van de mailserver als op de computers van gebruikers.

Daarnaast moet verantwoordelijke bescherming ook regelmatige bewustzijnstraining voor werknemers omvatten, waar wordt ingegaan op huidige cyberdreigingen en phishing-trucs.

Bron: kaspersky.nl | Roman Dedenok

Meer info over Phishing

Tips of verdachte activiteiten gezien? Meld het hier.

Phishing gerelateerde berichten

"Iedereen, ongeacht zijn ervaring of kennis van cybersecurity, is vatbaar voor een phishing-aanval"

Uit het phishing-onderzoek van Ivanti blijkt dat 80% van de respondenten een toename ziet van het aantal phishing-pogingen en 85% zegt dat de aanvallen steeds geavanceerder worden. Verder was bij 73% van de respondenten het IT-personeel het doelwit van phishing, waarvan 47% van de pogingen succesvol waren. Nieuwe vormen van oplichting als smishing (phishing via tekstberichten) en vishing (phishing via spraakberichten) zijn sterk in opkomst en specifiek op mobiele gebruikers gericht. Volgens recent onderzoek van Aberdeen hebben aanvallers een hoger succespercentage op mobiele devices dan op servers, en die trend lijkt te verergeren. Inmiddels bedraagt het jaarlijkse financiële risico van een datalek als gevolg van mobiele phishing-aanvallen ongeveer 1,7 miljoen dollar, wat kan oplopen tot een maximum van ongeveer 90 miljoen dollar.

Lees meer »

Cybercriminelen proberen via PDF bestanden e-mailgegevens van bedrijven in handen te krijgen

Bij de nieuwste truc van phishers in hun pogingen om e-mailgegevens van bedrijven in handen te krijgen gaat het om meldingen die van online diensten van Adobe afkomstig zouden zijn. En omdat ze begonnen zijn met het gebruik van een online pdf-bestand (dat zogenaamd op de website van Adobe staat), hebben we een echt bestand gemaakt om de tekenen van een phishing-e-mail en een valse “online pdf” hier te bespreken.

Lees meer »

Phishers voegen maar liefst 12 banken toe om het echt te laten lijken

Wie zaken doet via Marktplaats, moet altijd op zijn hoede zijn als een (ver)koper vraagt om een rekeningnummer te verifiëren. In een nieuwe variant van deze oplichtingstruc hebben oplichters een levensechte website van betaaldienst Tikkie nagebouwd. Slechts aan de url kun je zien dat je met een nepsite te maken hebt. Let je even niet op? Dan is je rekening binnen de kortste keren geplunderd.

Lees meer »

Criminelen zijn creatief: Verificatieverzoek via Marktplaats

Er is een nieuwe variant opgedoken van de oplichtingstruc waarbij je via WhatsApp een Marktplaats-verificatieverzoek moet voltooien. De layout van de nagemaakte 'Marktplaats'-website is anders dan gebruikelijk, maar wel levensecht wat betreft zaken als huisstijl. Dit keer hopen oplichters klanten van maar liefst elf banken ertoe te verleiden om inloggegevens voor internetbankieren af te staan, met alle schadelijke gevolgen van dien. Zo herken je deze site.

Lees meer »