PHISHING: Der Kampf gegen die Passwort-Fischer

Hier tun sich neue Dimensionen beim Phishing auf. Wenn man nicht mal mehr durch Zertifikate gewschützt ist wie dann:
http://www.intern.de/news/7664.html
Schützen nicht einmal Zertifikate vor Phishern?

Ein Posting des Internet Storm Center (ISC, SANS Institute) beschreibt sehr schön und ausführlich, wie raffiniert Phishing-Angriffe teilweise erfolgen. Bei diesem Beispiel geht es um eine Mail, die angeblich von "Mountain America" stammt, einem Kreditunternehmen, in dessen Namen auch Visa-Karten vergeben werden. Die Mail, von einem Phisher verschickt, wirkt vollständig authentisch. Auch der in der Mail angegebene URL zur Adresse mountain-america.net erscheint "echt". Vor allem, weil dieser URL mit "https" beginnt und damit einen Hinweis liefert, dass der Datenverkehr mit dieser Site via SSL verschlüsselt wird. Das lässt die Adresse insgesamt sicher erscheinen, zumal das von Equifax (Geotrust) vergebene Zertifikat für diese Verschlüsselung ebenfalls echt zu sein scheint. Doch das alles ist ein Trugschluss. Die Domain mountain-america.net (inzwischen nicht mehr konnektiert) gehört irgend jemandem, aber nicht der fraglichen Bank. Die darunter eingerichtete Site diente ausschließlich dazu, die per Mail angeschriebenen Kunden der Bank dazu zu bringen, ihre Login-Daten auszuplaudern. Offen bleibt allerdings auch für das ISC, wie diese Täter ein Zertifikat erhalten konnten. Der Zertifizierer gibt dazu zwar an, dass alle Anträge dieser Art geprüft werden, und dass man sich offizielle Dokumente vorlegen lässt, mit denen sich die Angaben des Antragsstellers verifizieren lassen. Doch die Anträge werden in einem Online-Verfahren (QuickSSL) gestellt und die automatische Prüfung scheint keine Unregelmäßigkeit gefunden zu haben. Daher konnten die Phisher in diesem und vermutlich anderen Fällen ein gültiges Zertifikat für ein nicht existierendes Unternehmen erhalten. Wie soll aber unter diesen Bedingungen Sicherheit gewährleistet werden?
Zum Vergrößern anklicken....
 
stieglitz schrieb:
Ja, das weisst du und ich!
Zum Vergrößern anklicken....
jetzt mal ernsthaft: wenn jemand an der Tür klingelt und zur Herausgabe des Autoschlüssels auffordert,
um angeblich die Bremsen zu prüfen, würde vermutlich jeder den Betreffenden fragen,
ob er noch alle Tassen im Schrank hat.

Wenn analog dasselbe im I-Net passiert, verläßt offensichtlich eine ganze Reihe von Mitmenschen
ein Mindestmaß an Mißtrauen und Sicherheitsdenken. Dies ist für mich nur sehr schwer
nachzuvollziehen. Vielleicht sind es diesselben, die tatsächlich den Autoschlüssel rausrücken würden...

cp
 
http://www.heise.de/newsticker/meldung/70061
Phishing-Seiten aus dem Baukasten

Immer häufiger werden Phishing-Seiten mit genannten Phishing-Kits erstellt,
die gleich eine ganze Palette verschiedener Ziel-Websites bereit stellen können,
meldet der Sicherheitsspezialist Websense. Darunter sei das so genannte Rock-Phish-Kit
besonders oft anzutreffen. Das erstmals im November 2005 erschienene Tool werde
zumeist auf Servern in Asien gehostet und sei für gewöhnlich an den mit /rock/ oder /r/
beginnenden URL-Pfaden erkennbar. Außerdem orientiere sich ein weiterer,
einstelliger Verzeichnisname in der Regel am Namen der bephishten Ziel-Website.
Eine Phishing-Seite beispielsweise für Citibank-Kunden wäre demnach unter der
http://<ADRESSE>/rock/c/ und eine eBay-Seite unter http://<ADRESSE>/rock/e/ abrufbar.
Zum Vergrößern anklicken....
das kann ja noch "heiter" werden... (Phishing leicht gemacht)

cp
 
http://www.heise.de/newsticker/meldung/70547
Phishing - Der Kampf geht weiter

Die Welle gefälschter E-Mails, mit denen Bankkunden zur Herausgabe ihrer Geheimzahlen
gebracht werden sollen, hat sich in den vergangenen Monaten nicht abgeschwächt.
Zur Abwehr solcher Angriffe stellt eine ganze Reihe von Anbietern auf der CeBIT neue Technologien
vor. "Es ist ein Wettlauf zwischen den Banken und den Internet-Kriminellen", sagte die Sprecherin
des Bundesverbandes deutscher Banken (BdB), K. A. , der Finanz- Nachrichtenagentur
dpa-AFX. "Die so genannten Phishing-E-Mails werden sukzessive weiter verfeinert.
Die Geschichten werden immer schlüssiger, das Deutsch wird besser."
Zum Vergrößern anklicken....
cp
 
Zur Abwechslung ein Job-Scam: 2 Stunden am Tag arbeiten und das bei einem Verdienst von 2000 bis 3000 Euro.

Sehr geehrte Damen und Herren,
JInfolge von der Unternehmenserweiterung sucht sich Cash On Demand Inc. einige Regionalvertreter mit freiem Arbeitszeitplan in folgenden Ländern: Australien, China, Deutschland, Großbritannien,Österreich, Niederlanden, Spanien, Thailand, Türkei.

Unsere Anforderungen:
- Mindestalter 18 Jahre
- Mobilität
- Verantwortlichkeit und Pflichttreue

Wir bieten Ihnen einen Verdienst von 2000-3000 Euro im Monat an, dabei behalten Sie Ihren freien Zeitplan, weil selbst die Arbeit normal nicht länger als 2 Stunden dauert. Es sind von Ihnen keine Geldeinlagen erforderlich.

Cash On Demand Inc. ist ein großer Finanzunternehmen mit zahlreichen Vertretungen in mehr als 60 Ländern weltweit. Unser Ziel ist es, den Menschen rund um die Welt im Not zu helfen, wenn Sie dringend Geld brauchen. Als seriose Firma haben wir uns in vielen Ländern der Welt einen Namen gemacht, indem wir unsere Dienstleistungen den Menschen zur Verfügung stellen, die es benötigen.

Für nähere Information besuchen Sie bitte www.***********

Wenn Sie sich angesprochen fühlen, senden Sie uns bitte eine Email ***@*********

Cash On Demand Inc. © 1996-2006
Zum Vergrößern anklicken....

Domain vor kurzem registriert. Die IP verweist nach China.

Gruß
Wembley
 
Mal wieder eine neue Variante, hab den Link nicht angeklickt, weiss als nicht was dahinter steckt. Auf jeden Fall hab ich keine Canon bestellt.
Die wollen einem Angst machen mit der Abbuchung von der Karte.

Vielen Dank fur das Einkaufen bei uns.
Ihr Auftrag #36997 Canon EOS 350 D Profi-Digicam im Wert von Euro 729 ist angenommen.

Dieser Betrag wird von Ihrer Karte abgebucht werden

In Ihrem Profil konnen Sie alle Auftragsdetails checken

Klick mal rein um den Auftrag zu sehen


--------------------------------------------------------------------------------
Vielen Dank
T-Online Online Store.
Zum Vergrößern anklicken....

Das "Klick mal rein" ist ein Link zu : h*tp://......com

@ Mods, kann das so stehen bleiben?
nein
 
Das hat doch was für sich. Bank hostet Phishing Seiten:
Silicon
Erste Kunden der Chase Bank - Teil von JPMorgan Chase & Co - meldeten am Samstag verdächtige E-Mails im Posteingang. Darin wurden den Anwendern beispielsweise 20 Dollar versprochen, wenn sie sich an einer Umfrage beteiligen, bei der sie unter anderem ihre persönlichen Daten, Kontonummern und Pins eingeben sollten.

Der dazugehörige Link führte zu einem Server, dessen IP-Adresse zu einer Zweigstelle der staatlichen China Construction Bank (CCB) gehört - mit 14.000 Filialen ist sie eine der vier großen staatlichen Banken in China.
Zum Vergrößern anklicken....
 
http://www.heise.de/newsticker/meldung/70823
Sorgen um Phishing und Industriespionage

Die Leiterin des Fraunhofer-Instituts für Sichere Informationstechnologie, SIT, in Darmstadt, Professor C.E. t, hält Phishing für das derzeit drängendste IT-Sicherheitsproblem. "Phishing ist, so trivial sich das anhört, immer noch das Problem Nummer eins, besonders für Banken", sagte E. im Interview mit Technology Review online. "Der Benutzer als Endglied der Kette agiert da immer noch ein bisschen naiv."
....
Diese Naivität betreffe aber nicht nur den Privatnutzer, erklärte Eckert – auch das "sagenumwobene Abhören von WLAN vom sprichwörtlichen Parkplatz vor der Haustür" sei nach wie vor ein Problem. "Das ist keineswegs Schnee von gestern; das ist etwas, das hohe Konjunktur hat. Obwohl man weiß, dass es Sicherheitstechnologien gibt, mit denen man hier vorankommen könnte, setzen über 50 Prozent der Unternehmen diese Technologien nicht ein – weil sie nicht wissen, wie man das macht, weil sie denken, bei ihnen wäre nichts zu holen, oder weil sie dann doch wieder nicht genau wissen, was damit möglich ist."
Zum Vergrößern anklicken....
mehr dazu
http://www.heise.de/tr/artikel/70809
 
aus: http://forum.computerbetrug.de/viewtopic.php?p=143513#143513
Anonymous schrieb:
Unter http://wien.orf.at/stories/95828/
findet sich beim ORF ein Bericht über die Verhaftung eines mutmaßlichen [edit] , der wohl "abgefischte" Gelder weiterleiten wollte.
Zum Vergrößern anklicken....

Feststellung und Festnahmen von Geldboten (Financial Agent) scheint es überall zu geben. Nicht selten zeigen sich diese Boten anscheinend selbst an, wenn sie Post von ihrer Bank bekommen haben oder gar die Konten gesperrt werden. Den Phishern gehen diese Helfer aus und deshalb scheinen sie sich auch neuen Möglichkeiten zu bedienen, z. B. denen als E-Bay-Käufern, wie Heise zu berichten weiß: http://www.heise.de/newsticker/meldung/70836
 
http://www.spiegel.de/netzwelt/technologie/0,1518,408473,00.html
Trojaner greift PINs und TANs ab

Phishing ist eigentlich eine sehr primitive Methode, Online-Banking zu knacken: Ohne die "Mithilfe" des unzureichend informierten Nutzers läuft da gar nichts. Doch der Nutzer ist zunehmend besser informiert. Die Phishing-Mafia hält mit neuen, perfiden Methoden dagegen.
..
Ein neues Computervirus könnte für die Nutzer von Online-Bankgeschäften gefährlich werden. Das Internetsicherheitsunternehmen Websense Security Labs warnt vor einem sogenannten Trojaner, der PIN- und TAN-Nummern knacken kann.
Zum Vergrößern anklicken....
cp
 
AW: PHISHING: Der Kampf gegen die Passwort-Fischer

http://www.heise.de/newsticker/meldung/72092
Das Internetauktionshaus eBay leistet Phishern unfreiwillig Schützenhilfe. So unterstützt eBay die automatische Weiterleitung auf externe Seiten – nach der erfolgreichen Anmeldung auf seinen eigenen Seiten. Dazu reicht offenbar die Angabe des Parameters continueURL in einem präparierten Link. Zwar ist die Weiterleitung auf eine externe Seite anhand der Adress- und Statuszeile ersichtlich, allerdings könnten Anwender dies schlicht übersehen, da sie sich ja zunächst auf der echten eBay-Seite per SSL eingeloggt haben und die betrügerische Seite im gleichen Gewand erscheint.
Im aktuellen Fall kursieren gefälschte eBay-Mails mit dem Betreff "Wiederhergestelltes Mitgliedskonto", die den Empfänger darüber informieren, dass seine Bank eBay informiert hätte, sein Konto sei manipuliert worden. Der enthaltene präparierte Link führt zunächst auf das eBay-Login.
Zum Vergrößern anklicken....
 
AW: PHISHING: Der Kampf gegen die Passwort-Fischer

http://www.heise.de/newsticker/meldung/72406
Phishing: Tatwaffe Telephon

Um sich vor Phishing zu schützen, genügt es nicht mehr, nur Webseiten argwöhnisch unter die Lupe zu nehmen. Zukünftig müssen Anwender auch noch prüfen, welche Telefonnummer sie wählen. So berichtet der Anbieter von sicheren E-Mail-Diensten Cloudmark von einem Fall, in dem die Phisher gefälschte Mails versandten, in denen der Empfänger aufgefordert wurde, die Hotline einer Bank unter der angegebenen Nummer anzurufen. Dort erwartete ihn allerdings nicht die Hotline seiner Hausbank, sondern eine per VoIP angeschlossene Telefonanlage der Phisher, die sich als automatisches Sprachsteuerungssystem der Bank ausgab. Zur weiteren Bearbeitung sollte der Anrufer dann Angaben zur Person, Kontonummer und PIN machen.
Zum Vergrößern anklicken....
cp
 
AW: PHISHING: Der Kampf gegen die Passwort-Fischer

advisor schrieb:
Globales Netzwerk gegen Phishing-Betrug im Internet vorgestellt
- US-Firma Symantec will Daten an führende Websites verteilen
Zum Vergrößern anklicken....
Zum Vergrößern anklicken....
Aha, werden dann die von der schwarz-gelben Pest befallenen Webserver genau so lahm und instabil wie Workstations, die mit der unseligen Software dieses Herstellers gestraft sind?:wall:

Was ich bisher mit Symantec-Produkten erleben durfte, ist nicht wirklich geeignet, Vertrauen in diese Aktion zu schaffen...

MfG
L.
 
Zurück
Oben