![](https://habrastorage.org/files/cc1/6b5/d6e/cc16b5d6ee184d51aedf4cfc7fa9f49f.png)
Я не случайно поставил в заглавие поста картинку с котиком. Это один из примеров манипулирования человеческим сознанием, апеллирование к жалости. Методы воздействия злоумышленников, использующих такие приемы, находятся в области практической психологии и относятся к социальной инженерии. Играя на эмоциях, чувствах, страхах и рефлексах людей злоумышленники получают доступ к интересующей их информации. Все эти методы используются злоумышленниками при создании фишинговых почтовых сообщений.
Внимание, под катом много изображений.
К сожалению, уровень осведомленности пользователей о современных угрозах довольно низок, поэтому, как и обещал, постараюсь описать основные приемы. Эти и другие приемы мы рассматриваем в рамках наших программ обучения.
При атаке на пользователей электронной почты у злоумышленников сейчас две основных цели: узнать пароль пользователя или попытаться заставить скачать некий файл. Для того чтобы собрать основные векторы по первому случаю — я создал ящик и «заказал» его взлом на нескольких площадках, которые довольно легко обнаружил с помощью поисковых систем.
Я не буду рассматривать представленные фишинговые домены и адреса почт: рядовой пользователь не запомнит чем отличается google.com/index.php от google.com.indexphp.cc. Основное, что я хочу донести — не надо слепо следовать каким-то указаниям в почте, особенно тем, которые побуждают выполнять некие действия здесь и сейчас, иначе случится что-то плохое.
Gmail — документы
Письмо отправлено с gmail адреса и сообщает о неких документах. В деловой переписке, особенно при большом потоке писем легко кликнуть на документ, попав на фишинговую страницу:
![](https://habrastorage.org/files/dcc/7ef/6c7/dcc7ef6c74474224a4df6ef86c68349f.png)
Хотя адрес «документов» ведет на neo4-yandex.ru, тем не менее с этого домена происходит редирект на:
(в коде страницы установлен сниффер, который логгирует все заходы на страницу —
<img height=0 width=0 src="http://xvxvxvxvxvx.ru/image.php?img=">
)s-mail-google.com/myaccount/ru/index.php?id=&/id=20154748705121097
![](https://habrastorage.org/files/539/fad/6d5/539fad6d5f8b49cfae052e97fd1a58e7.png)
Обратите внимание на старый логотип Google на фишинговой странице — многие ли из вас отметили, что он старый? А много ли пользователей помнят или знают о том, что у Google уже новый лого? Скорее всего, форма была сделана с помощью инструмента Social-Engineer Toolkit , в нем этот логотип не обновлен. А может злоумышленники просто не обращают на это никакого внимания и не обновляют свои поделки.
Gmail — недоставленное сообщение
Приходит письмо, о том, что некоторые письма не были доставлены. А если что-то важное потерялось?
![](https://habrastorage.org/files/8a6/368/8ad/8a63688adf77415bb6a31de0b78854d7.png)
Многие люди по природе мнительны, поэтому клик по ссылке, а там уже известный редирект на: s-mail-google.com/myaccount/ru/index.php?id=&/id=20154748705121097
Gmail — срочно сменить пароль
Пользователь, какие-то нехорошие личности взломали твой пароль!
![](https://habrastorage.org/files/bb8/637/8b2/bb86378b278b4880a38beca61eb6dd01.png)
Обычные пользователи, скорее всего, пойдут менять пароль, только вот адрес для смены совершенно неподходящий: google.mail.com.ru-id322322.ru/548589203339099000020039939/o/p/l/?id376=YWtzZWthdHlhQGdtYWlsLmNvbXxha3Nla2F0eWE=
Gmail — ваша почта будет заблокирована
Вы сделали что-то неправильно (ведь рядовые пользователи «не разбираются в компьютерах»), теперь надо все исправить, иначе удалят ящик:
![](https://habrastorage.org/files/2b5/e3f/e58/2b5e3fe58c49454ab6d908df85222e90.png)
Что тут у нас? Опять старый логотип, но есть и кое-что новое — в URL передается адрес атакуемого ящика, для большей достоверности. Пользователь переходит по ссылке вида: w-google.com/account_c/mailer/0/u/16281666201206/?email=privethabr@gmail.com&fail=1&cGRmJmhsPV3N0BJmhsPXJnbWFpbC5j1VyJmFjdb20mbGV0EVyucGRmJmhsPVyPXZ5cGlza2EucGRdVyGmJmhsPXJ1JmFjdD1%27 и попадает на «персональную страничку»:
![](https://habrastorage.org/files/0eb/b7b/bac/0ebb7bbaca0b4dc386e180dc311367a0.png)
Gmail — спам
Вы рассылали спам, теперь Вы не можете отправлять письма. Необходимо подтвердить аккаунт:
![](https://habrastorage.org/files/5cf/001/d6a/5cf001d6a26640f7a684376806a2c1f2.png)
Опять старый логотип. Вектор вроде новый, но ведет, опять же на уже известную нам страничку: s-mail-google.com/u/0/accounts/index.php?id=&/id=d7115e86e7423e7aea202cebf544de21
Gmail — черный список
Вы добавлены в черный список, шутки кончились. Срочно подтвердите что вы не бот-программа:
![](https://habrastorage.org/files/aeb/39b/aaa/aeb39baaac734ece9653d7290b124459.png)
По ссылке уже известный адрес: google.mail.com.ru-id322322.ru/?login=YWtzZWthdHlhfGFrc2VrYXR5YUBnbWFpbC5jb20=
Gmail — пора увеличить объем
Почтовый ящик почти заполнен, необходимо увеличить его объем. Надо, так надо:
![](https://habrastorage.org/files/37b/388/9aa/37b3889aa7a24d6e986c9dad7d98eeaf.png)
Вот это письмо мне понравилось. Я ожидал стандартную форму логина, но нет, злоумышленники пошли другим путем. Такое внимание к деталям: указан логин жертвы, ссылка «изменить» неактивна, но самое интересное дальше: account-google.ru.com/ServicesLogin/settings/?account=privethabr&?service=mail&passive=true&rm=false&continue=https://mail.google.com/mail/
![](https://habrastorage.org/files/a23/f3f/ade/a23f3fadeb8d4c3fbb8d5496f2cb144e.png)
Указан логин жертвы, интерфейс явно гугловый, даже видно что место и правда кончилось. Да и домен подобран очень в тему. Но вот логотип опять старый. В общем, это пока явный фаворит фишингостроения.
Gmail — рабочие моменты
Способ сомнительный для рядовых пользователей, письмо с какой-то заявкой или реквизитами:
![](https://habrastorage.org/files/487/35a/730/48735a73027c477c8cba8dfe45b39d61.png)
![](https://habrastorage.org/files/2f2/938/75d/2f293875d61b4b4f909b282fa8015c4f.png)
Ссылка редиректит на домен account-google.ru.com/ServicesLogin/files/?account=privethabr&?service=mail&passive=true&rm=false&continue=https://mail.google.com/mail/&ss=1&scc=1<mpl=default<mplcache=2&emr=1
![](https://habrastorage.org/files/b15/932/e73/b15932e736db4367be09c57e9fa06aa2.png)
Первая форма, на которой стоит новый логотип.
Mail.ru — рабочие моменты
Похож на способ указанный выше, прислали какие-то документы, вариаций может быть довольно много:
![](https://habrastorage.org/files/a64/6cd/0df/a646cd0df56f46c6b7a0054d9784b8d8.png)
![](https://habrastorage.org/files/787/59d/140/78759d14029d405e8ffd15aa63d0d3ce.png)
![](https://habrastorage.org/files/647/60a/4bc/64760a4bc54e45558169a8dd628c5609.png)
Клик по ссылке и пользователю предлагают ввести пароль. Т.к. логин уже подставлен — большинство рядовых пользователей введет свой пароль «на автомате»:
![](https://habrastorage.org/files/0e0/5aa/e22/0e05aae2275341f6a880b605b58355a8.png)
Mail.ru — сообщение не доставлено
Вам не пришло важное письмо, но наш сервис уведомил Вас об этом, включая какие-то непонятные заголовки сообщения для пущей достоверности:
![](https://habrastorage.org/files/4fc/6ae/800/4fc6ae800d0747a19a16ff458f148ddc.png)
А там уже знакомая нам форма:
![](https://habrastorage.org/files/0e0/5aa/e22/0e05aae2275341f6a880b605b58355a8.png)
Mail.ru — увеличить объем ящика
Еще один лидер моего хит-парада правдоподобности:
![](https://habrastorage.org/files/f26/3d7/b13/f263d7b1371844adb976bcafb55b2623.png)
При переходе попадаем на форму увеличения объема ящика:
![](https://habrastorage.org/files/1d7/d03/bba/1d7d03bbad2943afae5bb7cce112fd9d.png)
Еще один тип такого письма:
![](https://habrastorage.org/files/4b0/61f/fff/4b061ffff59d4fb2a8386bae04423b90.png)
По ссылке видим форму:
![](https://habrastorage.org/files/b16/fcc/3ec/b16fcc3ec33c4b51967550bc0b9d0f55.png)
Похож на способ указанный выше, но фишинговый домен уже не работает:
![](https://habrastorage.org/files/2da/4c5/b59/2da4c5b590ec4c94afde760e5330cd5b.png)
Ссылка не работает: cew-mail.ru/mailcapacity/index.php?email=privethabr@mail.ru&fail=0&GPXZJmV5cWVzEuccGRmyPXZWVzc2FnZScPXZJmV5cEyMTQ0MDAwuccWVzGRmyWVzPXZGRmyPXZWVzc2FnZS8xMzY0MTEMDAwMWVzDU4NS8
Mail.ru — уведомление о безопасности
Вашу почту кто-то взломал, срочно бегите менять пароль:
![](https://habrastorage.org/files/30c/8b9/2b8/30c8b92b88e14a80a50eaab7c4678767.png)
Фишинговая ссылка редиректит на pechatay-prosto.ru/js/?Login=privethabr@mail.ru (уже не работает).
Yandex — уведомление о безопасности
Не подтвердите аккаунт — заблокируем почту:
![](https://habrastorage.org/files/3d0/a36/49e/3d0a3649efdd4c3a9543caa2a74faae8.png)
По ссылке форма, с уже подставленным именем учетной записи:
![](https://habrastorage.org/files/0f2/258/1bf/0f22581bf4e44b64ad6325fbce0463ef.png)
Yandex — реактивация почтового ящика
Опять необходимо выполнить какие-то действия:
![](https://habrastorage.org/files/b07/6c2/a9c/b076c2a9cd674f408c0e8c00e1d7d818.png)
Добавлено много «правдоподобных» деталей:
![](https://habrastorage.org/files/fb8/ed7/a52/fb8ed7a528d04b0fa9c1422b5dbb6c20.png)
Рассылка вредоносных файлов/криптолокеров
Пользуясь текущей экономической обстановкой и страхами людей злоумышленники рассылают письма, имитирующие уведомления от платежных систем и органов судебной или исполнительной власти:
Письмо, содержащее инструкции для «подтверждения» доменного имени от Роскомнадзора (на самом деле пользователь установит на свой сайт шелл):
![](https://habrastorage.org/files/62e/085/b29/62e085b29ca34af2afe9dfdd9497a5c2.png)
Письмо из арбитражного суда, содержащее ссылку на криптолокер:
![](https://habrastorage.org/files/fd6/85d/fa4/fd685dfa483e487f81635b2af4c04cb4.png)
Письмо из Сбербанка о выданном кредите (со ссылкой на криптолокер):
![](https://habrastorage.org/files/07f/600/b1b/07f600b1b4ed46a98dad13360087263d.png)
Правила безопасности
- Письмо, побуждающее Вас к каким-то немедленным действиям должно Вас насторожить: проверьте от кого оно пришло, домен и ссылку. Если сомневаетесь — спросите специалистов.
- Если Вам что-то навязывают или присылают то, к чему Вы не имеете отношения — лучше удалить это письмо.
- Не переходите по подозрительным ссылкам в письме, даже если они пришли в сообщениях от ваших знакомых или с каких-то официальных адресов.
- Письма от судебных инстанций или органов: не поленитесь, найдите телефон этого ведомства и позвоните. Просто так никто судебные решения или уведомления о просроченных кредитах не высылает. Да и в 99% случаев Вы получите уведомление по обычной почте.
- Используйте двухфакторную авторизацию: большинство почтовых сервисов в настоящее время поддерживает эту технологию.
Эта статья посвящена атаке на рядовых пользователей, в следующей статье я расскажу о фишинговых и социотехнических атаках на корпоративный сектор.
Комментарии (31)
XogN
20.11.2015 14:58Практически никогда не пользуюсь почтой через браузер, только по imap протоколу через специфично настроенный Thunderbird.
questor
20.11.2015 21:03В чём специфика, если не секрет? Тоже ТБ, имап, а что ещё?
XogN
20.11.2015 21:50Секрета нет, просто запрещено все лишнее.
Отключены любые плагины для просмотра содержимого писем (pdf и прочих).
Запрещена загрузка и показ содержимого писем из интернета (это настроено так по умолчанию, и менять незачем).
Настроил, чтобы по клику по ссылке в письме ссылки ни в коем случае не открывались в браузере.
В целом, отключен весь дополнительный функционал, на крайний случай.
Daniyar94
20.11.2015 21:02Блин про увеличение памяти для почты в настройках, я бы попался. Уж очень правильно и по гугловски выглядит. Чет страшно теперь :)
goodsprite
24.11.2015 11:31Просьба сделать аналогичную статью, но не про специфику и методы, а с разъяснениями что делать и что не делать. То есть статью не для аудитории Хабра, а для мамочек-бабушек. Чтобы можно было родителям скинуть ссылку на статью, и они её поняли.
И аналогично для следующей статьи про корпоративные взломы.
dmitry_migachev
24.11.2015 12:52Со «сбербанка» мне тоже приходило, но и не только с него. Пока был на черном море летом, оказывается успел в такие долги залезть, что интересно весь этот спам приходил когда я был в отпуске. Хотя телефоном, почтой да и вобще практически ничем там не пользовался. Но понял сразу, что письма должны уйти в спам изза следующего:
1) Уважаемый Клиент… а дальше кто именно-то, может вообще не я.
2) У меня linux, но даже с ним я никогда не открываю архивы присланные мне не пойми откого.
3) Ради любопытства, я конечно открыл архивчик и увидел там файл типа: договор.docx.exe, ну и стало окончательно все понятно.
AndrewTishkin
24.11.2015 19:53У меня вопрос по скриншотам с Яндекс.Почтой. Это нормально, что она для подделок показывает зелёный значок «Цифровая подпись верна. Письмо отправлено с домена такого-этого»? А на днях ещё узнал, что ещё и адрес организации подставляет.
Это что, никчёмность всех этих напридуманных DKIM, имитация бурной деятельности, так и не делающая электропочту безопаснее, или всё-таки косяк Яндекса, что он что-то делает не так, раз такую отметку чему попало присваивает? Если первое — то может всё-таки как-то сподобиться хоть фальшивые письма от своих доменов научиться выявлять…lukasafonov
24.11.2015 19:56Так почта то нормальная с точки зрения яндекса. Злоумышленники зарегистрировали обычный ящик на яндексе, но взяли название, похожее на службу поддержки.
AndrewTishkin
24.11.2015 21:59Ай, невнимательно скриншоты разглядел, померещилось что письмо с support-поддомена. Тогда это совсем другая история, хотя про DKIM всё равно интересно узнать.
У Яндекса, кстати, есть ведь стоп-слова, которые невозможно использовать при регистрации ящика. Например, money, yamoney, yandex, но почему они не внесли туда ещё и support — непонятно. Я думаю никакого ущемления добросовестных пользователей от такого запретного слова не будет, ну или мизерное, а пользы гораздо больше. До кучи и sapport заблэклистить
zhylik
26.11.2015 19:41Встречались интересные массовые фишинговые письма с контекстной информацией по региону. Информация от некоего органа по СЗФО для работника из этого региона. Причем единственное упоминание электронной почты, на которое пришло письмо было найдено в социальной сети mail.ru — там же был указан и город.
Aclz
Во всех этих способах менеджер паролей в случае левых доменов не заполняет поле пароля в окне авторизации, что сразу палит контору.
lukasafonov
Вы знаете много рядовых пользователей, которые используют менеджеры паролей?
Aclz
Я имею в виду менеджер паролей, встроенный в браузер и сам предлагающий сохранить пароль. Таким пользуются, наверное, больше половины пользователей. К слову, из-за полного отсутствия необходимости вводить пароль, достаточно большой процент юзеров давно не помнят своего GMail-пароля и в такой ситуации просто физически не смогут его ввести.
lukasafonov
Рядовые пользователи и на это мало обращают внимания. «Меня выкинуло», «введу пароль по-новой».
lostpassword
«Гугл заколебал, сколько ж можно пароль вводить?!»
istui
ваш ник в тему :)
rauch
Сходу назову вам несколько сайтов, где широкораспространенный менеджер паролей LastPass не умеет сам заполнять форму, приходится самому копипастить.
Рядового пользователя спасет менеджер паролей?
Aclz
Если не умеет заполнять форму на google или yandex, то в печь такой менеджер паролей.