Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
ICS phishing mail+site
24-05-2017, 11:40 door Anoniem, 10 reacties
Spam, zo te zien verzonden vanaf 217.100.91.66 (d9645b42.static.ziggozakelijk.nl):
Met gewijzig e-mail adres van de ontvanger de link geopend. Er vindt een redirect plaats naar:
hxxps://www.international-card-services.nl/i/logon.x?cmd=_login&e=amFuLmphbnNlbkBqYW5zZW5lbmphbnNlbi5ubA==&b=i
De volgende link werkt echter ook:
hxxps://www.international-card-services.nl/i/logon.x?cmd=_login&b=i
Die phishing site, die sterk lijkt op de echte site heeft een een Comodo DV certificaat dat is afgegeven op 23 mei 2017 02:00:00.
De echte site (https://www.icscards.nl/) heeft een EV certificaat.
From: International Card Services <service@cards.ics.nl>
Subject: Uw Card is tijdelijk beperkt voor gebruik
Blokkade online omgeving
Geachte [VOORNAAM ACHTERNAAM VERWIJDERD],
International Card Services vindt fraude preventie belangrijk. Om te voorkomen dat anderen misbruik maken van uw Card, voeren wij dan ook regelmatig de nodige controles uit.
Uw online omgeving is geblokkeerd
Uit veiligheidsoverwegingen hebben wij daarom uw toegang tot uw online omgeving geblokkeerd. U kunt hierdoor helaas niet meer aanmelden voor online diensten en u kunt geen betalingen meer doen.
Toegang herstellen
Door op de knop inloggen te drukken, kunt u eenvoudig in een paar stappen uw toegang herstellen.
Dit is slechts eenmalig en wij vragen u dit te doen uit voorzorgmaatregelen.
Er is dus geen misbruik gemaakt van uw card en/of gegevens.
[KNOP] (MET ONZICHTARE LINK NAAR http://www.qmpath.nl/i/in.x?e=[E-MAIL ADRES VAN ONTVANGER])
Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd.
Met vriendelijke groet,
ICS BV
Dit bericht is verzonden door International Card Services BV, gevestigd aan de Wisselwerking 32 te (1112 XP) Diemen, ingeschreven in het Handelsregister Amsterdam onder nummer 33.200.596.
This message has been sent by International Card Services BV, which has its seat at Wisselwerking 32 (1112 XP) Diemen, the Netherlands, and is registered in the Commercial Register of Amsterdam under number 33.200.596.
Subject: Uw Card is tijdelijk beperkt voor gebruik
Blokkade online omgeving
Geachte [VOORNAAM ACHTERNAAM VERWIJDERD],
International Card Services vindt fraude preventie belangrijk. Om te voorkomen dat anderen misbruik maken van uw Card, voeren wij dan ook regelmatig de nodige controles uit.
Uw online omgeving is geblokkeerd
Uit veiligheidsoverwegingen hebben wij daarom uw toegang tot uw online omgeving geblokkeerd. U kunt hierdoor helaas niet meer aanmelden voor online diensten en u kunt geen betalingen meer doen.
Toegang herstellen
Door op de knop inloggen te drukken, kunt u eenvoudig in een paar stappen uw toegang herstellen.
Dit is slechts eenmalig en wij vragen u dit te doen uit voorzorgmaatregelen.
Er is dus geen misbruik gemaakt van uw card en/of gegevens.
[KNOP] (MET ONZICHTARE LINK NAAR http://www.qmpath.nl/i/in.x?e=[E-MAIL ADRES VAN ONTVANGER])
Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd.
Met vriendelijke groet,
ICS BV
Dit bericht is verzonden door International Card Services BV, gevestigd aan de Wisselwerking 32 te (1112 XP) Diemen, ingeschreven in het Handelsregister Amsterdam onder nummer 33.200.596.
This message has been sent by International Card Services BV, which has its seat at Wisselwerking 32 (1112 XP) Diemen, the Netherlands, and is registered in the Commercial Register of Amsterdam under number 33.200.596.
Met gewijzig e-mail adres van de ontvanger de link geopend. Er vindt een redirect plaats naar:
hxxps://www.international-card-services.nl/i/logon.x?cmd=_login&e=amFuLmphbnNlbkBqYW5zZW5lbmphbnNlbi5ubA==&b=i
De volgende link werkt echter ook:
hxxps://www.international-card-services.nl/i/logon.x?cmd=_login&b=i
Die phishing site, die sterk lijkt op de echte site heeft een een Comodo DV certificaat dat is afgegeven op 23 mei 2017 02:00:00.
De echte site (https://www.icscards.nl/) heeft een EV certificaat.
Reacties (10)
Altijd OK om dit naar buiten te brengen want het is treurig/triest dat dit soort Phishing overduidelijk lucratief blijft.
Als ik het goed begrijp werd zelfs je voor- en achternaam gebruikt?
Ik had een sterk gelijkende nep ICS mail (ik ben daar klant) enkele weken geleden maar niet gepersonaliseerd.
Algemeen: Als je mail krijgt waarin wordt getoeterd dat een account o.i.d. is geblokkeerd ga je - als je niet volledig overtuigd bent van de onechtheid?? - dus zelf - niet via een link in de betreffende mail - naar de dienstverleners' inlogpagina....Nadere uitleg is overbodig.
Als ik het goed begrijp werd zelfs je voor- en achternaam gebruikt?
Ik had een sterk gelijkende nep ICS mail (ik ben daar klant) enkele weken geleden maar niet gepersonaliseerd.
Algemeen: Als je mail krijgt waarin wordt getoeterd dat een account o.i.d. is geblokkeerd ga je - als je niet volledig overtuigd bent van de onechtheid?? - dus zelf - niet via een link in de betreffende mail - naar de dienstverleners' inlogpagina....Nadere uitleg is overbodig.
Beide domeinnamen staan op naam van zelfde prive persoon bij provider Hostnet.
Duidelijk foute boel.
Mocht je hem nog niet aan ICS hebben gemaild, valse-email@icscards.nl, dan is dat hulpzaam. Ervaring hier leert dat ICS snel actie neemt.
Ze worden akelig echt. Jammer bij deze is dat Stichting ICS (ander bedrijf dan ICSCards, maar ja, het lijkt nogal), eigenaar van ICS.nl, hun SPF & DMARC niet helemaal op orde hebben, anders had je deze mail nooit in je inbox ontvangen.
Duidelijk foute boel.
Mocht je hem nog niet aan ICS hebben gemaild, valse-email@icscards.nl, dan is dat hulpzaam. Ervaring hier leert dat ICS snel actie neemt.
Ze worden akelig echt. Jammer bij deze is dat Stichting ICS (ander bedrijf dan ICSCards, maar ja, het lijkt nogal), eigenaar van ICS.nl, hun SPF & DMARC niet helemaal op orde hebben, anders had je deze mail nooit in je inbox ontvangen.
Door Aha: Als ik het goed begrijp werd zelfs je voor- en achternaam gebruikt?
De spam is ontvangen door een collega (werk e-mail) inderdaad met voor- en achternaam. Maar die zijn niet moeilijk uit het SMTP e-mail adres te halen. Mijn collega was wel verbaasd, want hoewel hij wel privé een credit card heeft, heeft hij niet zo'n ding "van de baas".Misschien wel een nadeel is dat we een goed spamfilter hebben en zelden spam krijgen, de klikkans zou daardoor wel eens groter kunnen zijn (vooral als men toevallig zakelijk zo'n kaart heeft).
Jammer is ook dat Comodo voor een site genaamd "international-card-services" een certificaat afgeeft. Aan de andere kant is een briefkaart ook een "card". ICScards.nl had er verstandiger aan gedaan als ze zichzelf iets als "International Creditcard Services" hadden genoemd. De domeinnaam icscards is trouwens ook best suf (als je de afkorting uitschrijft komt er 2x card in voor).
Als je zelf voor een (gevoelige) site een domeinnaam moet kiezen, denk dan goed na of deze voldoende de lading dekt (pas zo mogelijk de bedrijfsnaam hierop aan). Hopelijk voorkom je daarmee verwarring zoals tussen ics.nl, icscard.nl, icscards.nl en varianten zoals bovenstaand.
Overigens heb ik een mail naar Ziggo en ICScards gestuurd voordat ik hier postte. De nepsite is ondertussen uit de lucht.
Die voornaam, achternaam kunnen natuurlijk ook gewoon uit een datalek komen als het niet al exact zo in het mailadres zit (voornaam.achternaam@example.com).
Dat de ontvanger dan toevallig een ICS card heeft is dan lucky shot. Maar ja, wie heeft er nu geen ICS card.
Gooi het mailadres maar eens door de molen op https://haveibeenpwned.com
Dat de ontvanger dan toevallig een ICS card heeft is dan lucky shot. Maar ja, wie heeft er nu geen ICS card.
Gooi het mailadres maar eens door de molen op https://haveibeenpwned.com
Door Anoniem:…Jammer bij deze is dat Stichting ICS (ander bedrijf dan ICSCards, maar ja, het lijkt nogal), eigenaar van ICS.nl, hun SPF & DMARC niet helemaal op orde hebben, anders had je deze mail nooit in je inbox ontvangen.
Maar daar kan icscards natuurlijk niets aan doen. Icscards zelf heeft een DMARC policy van 'reject'. Mail uit hun naam verstuurd wordt door een fatsoenlijke mailserver wel tegengehouden.
De spammers hebben bij het spoofen van de afzender handig gebruik gemaakt van het feit dat er ook een firma ICS.NL bestaat en dat ICS een wildcard subdomein ingesteld heeft. Door die wildcard kun je er elk willekeurig subdomein voor plakken en je houdt een geldige domeinnaam. Hierdoor lijkt de mail betrouwbaarder voor spamfilters. ICS heeft wel een SPF policy, en die staat op hard-fail. Maar er is inderdaad geen policy voor subdomeinen. Dat hadden ze zeker ook moeten instellen omdat ze ook een wildcard gebruiken. (zelf heb ik via een wildcard een permanente hard-fail op al mijn subdomeinen gezet)
Door Briolet:
Maar daar kan icscards natuurlijk niets aan doen. Icscards zelf heeft een DMARC policy van 'reject'. Mail uit hun naam verstuurd wordt door een fatsoenlijke mailserver wel tegengehouden.
De spammers hebben bij het spoofen van de afzender handig gebruik gemaakt van het feit dat er ook een firma ICS.NL bestaat en dat ICS een wildcard subdomein ingesteld heeft. Door die wildcard kun je er elk willekeurig subdomein voor plakken en je houdt een geldige domeinnaam. Hierdoor lijkt de mail betrouwbaarder voor spamfilters. ICS heeft wel een SPF policy, en die staat op hard-fail. Maar er is inderdaad geen policy voor subdomeinen. Dat hadden ze zeker ook moeten instellen omdat ze ook een wildcard gebruiken. (zelf heb ik via een wildcard een permanente hard-fail op al mijn subdomeinen gezet)
Door Anoniem:…Jammer bij deze is dat Stichting ICS (ander bedrijf dan ICSCards, maar ja, het lijkt nogal), eigenaar van ICS.nl, hun SPF & DMARC niet helemaal op orde hebben, anders had je deze mail nooit in je inbox ontvangen.
Maar daar kan icscards natuurlijk niets aan doen. Icscards zelf heeft een DMARC policy van 'reject'. Mail uit hun naam verstuurd wordt door een fatsoenlijke mailserver wel tegengehouden.
De spammers hebben bij het spoofen van de afzender handig gebruik gemaakt van het feit dat er ook een firma ICS.NL bestaat en dat ICS een wildcard subdomein ingesteld heeft. Door die wildcard kun je er elk willekeurig subdomein voor plakken en je houdt een geldige domeinnaam. Hierdoor lijkt de mail betrouwbaarder voor spamfilters. ICS heeft wel een SPF policy, en die staat op hard-fail. Maar er is inderdaad geen policy voor subdomeinen. Dat hadden ze zeker ook moeten instellen omdat ze ook een wildcard gebruiken. (zelf heb ik via een wildcard een permanente hard-fail op al mijn subdomeinen gezet)
@Briolet,
Ik vraag mij af hoe ik een SPF hard-fail policy kan definieren voor niet bestaande subdomeinen?
Alvast bedankt.
Ik heb het al vaak gezegd en ik zeg nu nog maar een keer: SPF is geen oplossing voor phishing omdat alles, inclusief het afzenderadres door de spammer wordt bepaald.
De spammer had hier even goed het spam domein als afzender kunnen nemen. Bij sommige mail readers zie je niet eens het afzender email adres. De spammer heeft volledige controle over DNS records en DNS gebaseerde authenticatie.
De spammer had hier even goed het spam domein als afzender kunnen nemen. Bij sommige mail readers zie je niet eens het afzender email adres. De spammer heeft volledige controle over DNS records en DNS gebaseerde authenticatie.
25-05-2017, 15:39 door
Briolet
Door SecGuru_OTX: Ik vraag mij af hoe ik een SPF hard-fail policy kan definieren voor niet bestaande subdomeinen?
Ik heb een TXT record gemaakt voor het wildcard domein "*.mijndomein.nl" met inhoud "v=spf1 -all"
Door de wildcard geld hij voor alle subdomeinen die je geen eigen TXT record geeft.
25-05-2017, 15:46 door
SecGuru_OTX
Door Briolet:
Ik heb een TXT record gemaakt voor het wildcard domein "*.mijndomein.nl" met inhoud "v=spf1 -all"
Door de wildcard geld hij voor alle subdomeinen die je geen eigen TXT record geeft.
Door SecGuru_OTX: Ik vraag mij af hoe ik een SPF hard-fail policy kan definieren voor niet bestaande subdomeinen?
Ik heb een TXT record gemaakt voor het wildcard domein "*.mijndomein.nl" met inhoud "v=spf1 -all"
Door de wildcard geld hij voor alle subdomeinen die je geen eigen TXT record geeft.
Thanks, ik wist niet dat dat ook nog een optie was.
Door Briolet: Ik heb een TXT record gemaakt voor het wildcard domein "*.mijndomein.nl" met inhoud "v=spf1 -all"
Door de wildcard geld hij voor alle subdomeinen die je geen eigen TXT record geeft.
Als jij en de ontvangende mailserver zich aan RFC4408 houden, matcht:Door de wildcard geld hij voor alle subdomeinen die je geen eigen TXT record geeft.
sub1.mijndomein.nl. wel op *.mijndomein.nl.
sub2.sub1.mijndomein.nl. niet op *.mijndomein.nl.
Zie ook http://www.openspf.org/svn/project/specs/rfc4408.html#anchor14. Daaruit:
Use of wildcards is discouraged in general as they cause every name under the domain to exist and queries against arbitrary names will never return RCODE 3 (Name Error).
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
