Interagiere nicht mit der gefälschten Instagram-Nachricht "Copyright Objection Form"

Phisher scheinen derzeit auf Trab zu sein, und sie scheinen besonders an Social-Media-Konten interessiert zu sein. Wir haben Ihnen bereits von der Kampagne berichtet, mit der eine Reihe von beliebten Erstellern von YouTube-Inhalten von ihren Kanälen ausgeschlossen wurden. Gestern diskutierte das Sophos-Team einen weiteren cleveren Phishing-Angriff, der sich diesmal an Instagram-Nutzer richtete.

So etwas ist nicht wirklich überraschend. In der Tat werden Instagrammer jeden Tag phishing. Der Grund, warum dieser bestimmte Angriff die Nachrichten machte, liegt in der Tatsache, dass er gut designt und viel überzeugender ist als einige der früheren Bemühungen der Gauner.

Das Social Engineering

Wie die meisten von Ihnen wahrscheinlich wissen, ist es der schwierigere Teil, einen erfolgreichen Phishing-Angriff abzuwehren, die Benutzer zu überzeugen, ihre Anmeldeinformationen freiwillig weiterzugeben. Die Gauner haben eine Reihe verschiedener Social-Engineering-Techniken eingesetzt, um das Vertrauen der Menschen zu gewinnen, und es muss gesagt werden, dass sich einige als überzeugender erwiesen haben als andere. Das Szenario beim aktuellen Angriff auf Instagrammer zum Beispiel ist eher glaubwürdig.

Die E-Mail soll das Opfer zu der Annahme verleiten, dass Instagram auf seinem Konto Inhalte gefunden hat, die das Urheberrecht einer anderen Person verletzen. Die Meldung besagt, dass das betreffende Profil "gesperrt" wird, und die einzige Möglichkeit, dies zu verhindern, besteht darin, der Urheberrechtsverletzung durch Klicken auf einen Link in der E-Mail zu widersprechen. Hier ist die gesamte Nachricht:

Hallo [NAME]
Es tut uns leid, wir haben Inhalte in Ihrem Konto gefunden, die gegen unsere Urheberrechtsgesetze verstoßen.
Wir werden Ihr Konto innerhalb von 24 Stunden sperren.
Wenn Sie der Meinung sind, dass wir einen Fehler gemacht haben, klicken Sie auf die Schaltfläche "Copyright-Widerspruchsformular" und füllen Sie das Formular aus.
Wir werden Ihnen 24 Stunden nach Ausfüllen des Formulars per E-Mail antworten.

Wie Sie sehen, ist die Nachricht mit Grammatikfehlern durchsetzt, aber ob Sie es glauben oder nicht, sie ist nicht so schlecht wie die E-Mails, die wir in anderen Kampagnen gesehen haben. Und während es unwahrscheinlich ist, dass sie mit Harvard-Professoren verwechselt werden, wissen die Gauner, wie man eine E-Mail formatiert. Das Logo befindet sich an der richtigen Stelle, die Schriftarten sehen korrekt aus und der Kleingedruckte ist so schwer zu lesen, wie Sie es erwarten. All dies, zusammen mit der Tatsache, dass die Opfer Angst davor haben, den Zugriff auf ihre Konten zu verlieren, könnte dazu führen, dass sie die grammatikalischen Fehler übersehen und auf die Schaltfläche "Einspruchsformular für Urheberrechte" klicken.

Die technische Ausführung

Nutzer, die sich durchklicken, landen auf einer Seite, die wiederum die echte Oberfläche von Instagram recht gut imitiert. Um jedoch auf der sicheren Seite zu sein, haben die Phisher einen weiteren Schritt unternommen, um sicherzustellen, dass die Benutzer nichts vermuten. Sie haben eine kostenlose Domain mit einer .cf-TLD registriert, um den Betrug zu hosten, und sie haben ein paar Subdomains erstellt, was bedeutet, dass die tatsächliche Phishing-URL ungefähr so aussah:

https: //instagram.copyrightinfringementappeal. [ANONYMISIERT] .cf

Einerseits ist "Instagram" das erste Wort, das die Benutzer sehen, um sich zu beruhigen. Darüber hinaus können Benutzer mit niedrigeren Bildschirmauflösungen dank der Unterdomänen nicht die gesamte URL sehen.

Einige von Ihnen haben möglicherweise auch bemerkt, dass die Phishing-Seite über HTTPS übermittelt wird . Wir haben in der Vergangenheit erwähnt, dass Phishing-Teams, die es ernst meinen mit ihrem Geschäft, SSL-Zertifikate auf ihren gefälschten Webseiten zu installieren pflegen, was zeigt, dass die Leute, die diese bestimmte Kampagne durchführen, nicht herumspielen.

Sobald sie auf der Phishing-Seite landen, werden Benutzer mit einer Warnung konfrontiert, die mehr oder weniger das wiederholt, was bereits in der E-Mail in demselben nicht perfekten Englisch gesagt wurde, und darunter eine Schaltfläche, die es ihnen angeblich erlauben würde Rechtsmittel gegen die Urheberrechtsverletzung einlegen. Wenn sie darauf klicken, werden sie zu einer Seite geleitet, auf der sie nach ihrem Geburtstag, ihrem Benutzernamen und ihrem Passwort gefragt werden. Die Experten von Sophos stellten fest, dass auf der Phishing-Seite nur die Anmeldeinformationen aufgezeichnet und das Geburtsdatum verworfen werden.

Nachdem die Opfer ihre Benutzernamen und Passwörter eingegeben haben, werden sie zu einem Ladebildschirm geführt, auf dem ihnen mitgeteilt wird, dass ihr Einspruch gegen das Urheberrecht eingegangen ist und dass sie innerhalb von 24 Stunden kontaktiert werden. Schließlich werden sie zum echten Anmeldeformular von Instagram weitergeleitet.

Mehrere Phishing-Kampagnen werden gleichzeitig ausgeführt

Dies ist nicht der einzige Phishing-Angriff auf Instagram-Benutzer, den Sophos-Experten kürzlich ausführlich beschrieben haben. Am Montag diskutierten sie eine weitere Kampagne, die Opfer mit Hilfe von gefälschten 2FA-Codes zum Narren hielt. Einige Details könnten sogar darauf hindeuten, dass die beiden Vorgänge von derselben Gruppe ausgeführt werden. Auch hier hat die kostenlose Domain, die das Phishing-Formular hostet, eine .cf-TLD und ein SSL-Zertifikat, und obwohl die grammatikalischen Fehler geringer sind, sind die Phishing-E-Mails und Anmeldeformulare gut gestaltet und sehen fast identisch aus.

Wir werden nicht übertreiben, wenn wir sagen, dass die Leute, die diese beiden Kampagnen durchführen, im Vergleich zur durchschnittlichen Phishing-Crew einen höheren Grad an Raffinesse aufweisen. Selbst die durchdachtesten Angriffe wirken sich nicht auf Sie aus, wenn Sie ein paar Grundprinzipien beachten. Halten Sie sich so weit wie möglich von den Links fern, die Sie in Ihrem Posteingang erhalten. Wenn Sie darauf klicken müssen, fahren Sie mit der Maus darüber und überprüfen Sie die URL, zu der Sie unterwegs sind. Nehmen Sie jede Warnung mit ein wenig Salz auf, besonders wenn die E-Mail besonders dringend klingt, und informieren Sie sich beim Onlinedienstanbieter selbst über die einzelnen Vorgänge, nicht über eine E-Mail, die gerade in Ihrem Posteingang eingetroffen ist.