Eén phishing-e-mail, meerdere ontwijkingstechnieken

Nu organisaties steeds meer beveiligingsproducten gebruiken om hun e-mail te beschermen tegen schadelijke berichten, bijlagen en koppelingen, moeten phishing-pogingen steeds geraffineerder worden. Dit is een continu proces waarbij aanvallers nieuwe technieken ontwikkelen die hen helpen e-mailbeveiligingsoplossingen te omzeilen om hun eindgebruikersdoelen te bereiken.

Onlangs zijn we een phishing-e-mail tegengekomen die door Datto SaaS Defense was onderschept en die meerdere ontwijkingstechnieken gebruikte, elk gericht op een ander detectiemechanisme. Door deze technieken te combineren, kon het veel e-mailbeveiligingsoplossingen omzeilen.

In deze blogpost neem ik de verschillende ontwijkingstechnieken door die in deze aanval worden gebruikt, leg ik uit waarom ze helpen om de aanval onopgemerkt te laten en hoe ze kunnen worden geïdentificeerd.

De aanval en zijn ontwijkingstechnieken

De e-mail zelf lokt de gebruiker om op een link te klikken door hem te informeren dat zijn Office 365-wachtwoord bijna verloopt. De gebruiker klikt op de link om zijn wachtwoord bij te werken en komt op deze valse Microsoft inlogpagina:

Kijk eens goed naar deze webpagina. Er zijn verschillende ontwijkingstechnieken waardoor deze pagina er onverdacht uitziet voor e-mailbeveiligingsoplossingen.

Favicon omzeilen

Het favicon (het pictogram op het browsertabblad) is een beetje anders dan het echte Microsoft favicon. De aanvaller verwisselde de rode en gele tegels en gebruikte wit in plaats van zwart voor de rand.

Dit kan leiden tot fouten bij het matchen van sjablonen (een methode die wordt gebruikt door beveiligingsoplossingen om phishing-webpagina's te identificeren), vooral als er geen grijstinten worden gebruikt bij het vergelijken. Het helpt deze aanval dus om phishing-detectie-engines te ontwijken.

Logo omzeilen

Het Microsoft-logo dat in de valse aanmeldingspagina wordt gebruikt, verschilt enigszins van het originele Microsoft-logo. Zoals je in de afbeelding kunt zien, gebruikte de aanvaller een vergelijkbaar maar niet identiek lettertype en vette letters.

Links: het neplogo; rechts: het echte Microsoft-logo

Dit kan fouten veroorzaken bij het matchen van sjablonen, ervan uitgaande dat de Microsoft-tekst is opgenomen in de sjabloon. Dit vergroot de kans dat deze aanval wordt gemist door phishing-detectie-engines.

Formulier ontwijking

The page might look like it contains a regular form, but it doesn’t use the actual <form> tag in HTML as a legitimate Microsoft website would. The attackers created the ‘form’ using <div> tags and CSS to look exactly the same, as you can see in the following HTML code.

Many phishing detection engines would scan the HTML looking for a <form> tag in order to investigate the form and reveal credential theft attempts. The fact that the form looks like a legitimate form makes the page unsuspicious to victims. The fact there is no <form> tag in the HTML prevents phishing detection engines from identifying the illegitimate form.

Verdachte tekst in afbeeldingen

Sommige phishing-detectie-engines scannen de webpagina op velden die om het wachtwoord van de gebruiker vragen (meestal variaties van de zin 'voer wachtwoord in'). Vervolgens onderzoeken ze deze velden om te controleren of ze legitiem zijn.

In deze phishing webpagina gebruikten de aanvallers afbeeldingen van de tekst in plaats van de werkelijke tekst wanneer het woord wachtwoord werd geschreven.

Met deze methode kan de aanval e-mailbeveiligingsoplossingen omzeilen die de webpagina scannen op phishingpogingen, omdat de detectie-engine het woord 'wachtwoord' niet herkent en dus niet vermoedt dat de pagina wordt gebruikt voor het verzamelen van referenties.

Vermomd invoerveld

Een andere techniek die phishing-detectie-engines kunnen gebruiken, is het scannen van de HTML voor invoervelden, wat aangeeft dat dit een poging tot diefstal van gegevens zou kunnen zijn. In dit geval verborgen de aanvallers het invoerveld door een lege div te maken met een achtergrondafbeelding met het woord wachtwoord. Dit is nog een tactiek die deze e-mailaanval helpt om oplossingen voor e-mailbeveiliging te omzeilen.

De volgende schermafbeelding laat zien dat het veld 'Input' eigenlijk een lege div is (met de id 'spinput'):

Zodra de gebruiker op deze div klikt, wordt er een nieuwe div aangemaakt met het id 'inpfield'. Deze div fungeert als een tekstinvoerveld waarin de gebruiker zijn wachtwoord kan invoeren.

Om dit echt te laten lijken voor de gebruiker, is er een plaatshouder met het woord 'wachtwoord'. Om detectie te omzeilen, voegden de aanvallers "$shy" toe tussen de letters van het woord 'wachtwoord'. Op deze manier zouden opsporingsprogramma's het woord 'wachtwoord' niet vinden. Dit is een zacht koppelteken dat onzichtbaar is in HTML, zodat de gebruiker niets vermoedt.

Als je goed kijkt, zie je dat het woord wachtwoord in het invoerveld na het klikken is veranderd van een afbeelding in een plaatsaanduiding. Zo ziet het eruit na het klikken op het valse wachtwoordveld:

Usually, when legitimate webpages use a password field, they use <input> with type password to make the black dots that won’t show the text in the field. In this case, the text is inside the <div> and a JavaScript code is changing the values to be those black dots that the user sees.

Wat kunt u eraan doen?

Phishing zal naar verwachting blijven evolueren en beveiligingsoplossingen zullen het tempo moeten bijhouden om te voorkomen dat phishing-aanvallen hun detectie-engines omzeilen.

Terwijl de meeste e-mailbeveiligingsoplossingen afhankelijk zijn van gegevens over bekende phishingpogingen, hanteert Datto SaaS Defense een gegevensonafhankelijke aanpak. Datto SaaS Defense detecteert gloednieuwe en onbekende phishingbedreigingen die andere oplossingen over het hoofd zien, door de samenstelling van een veilige e-mail, URL en webpagina te analyseren in plaats van te scannen op bekende phishingtechnieken. Daarom werd juist deze aanval (net als vele andere) door Datto SaaS Defense tegengehouden, terwijl andere e-mailbeveiligingsoplossingen er niet in slaagden deze te detecteren.

Als je meer wilt weten , schrijf je dan in voor ons webinar.