Politiediensten halen phishing-as-a-service platform LabHost offline
Politiediensten, waaronder ook de Nederlandse politie, hebben tijdens een internationale operatie het phishing-as-a-service platform LabHost offline gehaald. In Nederland zijn vijf verdachten aangehouden. Via het platform konden criminelen uit allerlei soorten phishingsites kiezen, bijvoorbeeld voor banken, bezorgdiensten en telecombedrijven. De phishingsites waren via een paar clicks aan te passen en uit te rollen. Het platform rekende een bedrag van 249 dollar per maand.
Volgens Europol zijn minstens veertigduizend phishingdomeinen aan LabHost gelinkt. Het platform zou zo'n tienduizend gebruikers hebben gehad. "Wat LabHost met name schadelijk maakte was de geïntegreerde campagnemanagementtool genaamd LabRat", aldus Europol. Via deze tool konden aanvallers hun phishingaanvallen in real-time monitoren en beheren. De tool was bedoeld voor het onderscheppen van tweefactorauthenticatie (2FA) codes. Tijdens het onderzoek wisten de autoriteiten de infrastructuur van LabHost te compromitteren en het domein in beslag te nemen, zo laat Europol verder weten.
De Britse politie laat weten dat zo'n zeventigduizend Britse slachtoffers hun inloggegevens op phishingsites van LabHost hebben ingevoerd. Wereldwijd zou het platform bijna een half miljoen creditcardgegevens hebben verkregen, 64.000 pincodes en meer dan een miljoen wachtwoorden gebruikt voor websites en andere diensten. De Britse politie heeft inmiddels 25.000 mensen in het Verenigd Koninkrijk gewaarschuwd dat ze slachtoffer zijn geworden.
Beste mensen: gebruik een wachtwoordmanager die de login-gegevens voor een website alleen vrijgeeft als de domeinnaam van de website klopt!
2FA is vooral ballast, het helpt in steeds minder gevallen.
1) Ik opende https://security.nl in Firefox (voor Android). Die link had in een phishingmail kunnen staan, en bijvoorbeeld https://securlty.nl kunnen luiden. Sterker, precies zoals Vitens doet [1]: de tekst "boven de link" in de mail had security.nl kunnen luiden, met "daaronder" genoemde link met de iets afwijkende domeinnaam.
Nb. Onder Android heb je geen browser plug-ins/add-ons nodig om bijv. KeePassDX te kunnen gebruiken. Die wachtwoordmanager werkt automatisch in elke webbrowser die ik gebruik (Chrome, Firefox Nightly en Firefox Focus).
2) Ik drukte rechtsboven op "Inloggen" waarna een inlog-dialoogbox (een pop-up venster met invulvelden) verschijnt.
3) Als ik in het wachtwoordveld druk, verschijnt een klein pop-up venstertje (met de groene kleur van KeePassDX) met bovenin "www.security.nl" en daaronder een "knop" met de tekst "Sign in with KeePassDX". Uit die eerste tekst blijkt dat Android al heeft herkend om welke website, d.w.z. om welke domeinnaam, het gaat, en dat reeds heeft doorgegeven aan KeePassDX.
4) Ik druk op de 'knop" met de tekst "Sign in with KeePassDX".
5) Vervolgens moet ik, in een geheel ander scherm (van KeePassDX, full screen), een wachtwoorddatabase kiezen (zelf heb ik er twee, waarvan ééntje voor tests). Ik kies de gewenste.
6) Er verschijnt het verzoek om de (versleutelde) wachtwoorddatabase te ontgrendelen - met mijn vingerafdruk (effectief is de wachtwoorddatabase versleuteld met een lang wachtwoord, dat -effectief- veilig in hardware van mijn Android smartphone is opgeslagen). Met mijn vingerafdruk geeft Android dat lange wachtwoord vrij, waarmee de database wordt intgrendeld). Ik leg mijn vinger op de vingerafdrukscanner, met succes.
7) Vanuit het andere scherm ben ik weer terug in de browser met de inlog-dialoogbox van security.nl. Daaronder verschijnt nu een keuzescherm, ik kan kiezen om in te loggen als:
• Onbekend (test) (Onbekend (test))
• Erik van Straten @ security.nl (E<geheim>@xs4all.nl)
Die bovenste regel heb ik voor tests gebruikt, maar had ook een echt tweede account kunnen zijn. Nb. je ziet achtereenvolgens de accountnaam op de site, en het gebruikte user-ID, meestal jouw e-mailadres.
8) Ik druk op de onderste regel: dan vult KeePasdDX automatisch beide velden in, en maakt (ter verduidelijking) de achtergrond van die velden geel.
9) Als ik nu op de knop "Inloggen" druk, ben ik ingelogd op security.nl.
Klinkt moeilijk, is dat niet: met een paar keer drukken en een vingerafdruk ben ik ingelogd op de juiste website.
Dat moet een rode vlag zijn!
De domeinnaam is namelijk onbekend in de wachtwoordmanagerdatabase, de kans is maximaal dat je op een nepsite probeert in te loggen. Dat is het moment om te stoppen!
[1] https://www.security.nl/posting/837529/Vitens%3A+AVG%3F+Lets+phish%21
The Fall of LabRat: Law Enforcement Shuts Down Phishing Service Provider
https://www.trendmicro.com/fr_fr/research/24/d/labhost-takedown.html
Wereldwijd zijn er 37 mensen gearresteerd. De vijf Nederlandse arrestanten komen uit Leeuwarden, Papendrecht, Woudenberg en Vleuten en zijn tussen de 21 en 36 jaar oud. Naast die aanhoudingen heeft de politie ook twee 'stopgesprekken' gevoerd met gebruikers van de site. De politie sluit meer acties niet uit.
https://nos.nl/artikel/2517210-internationaal-phishing-netwerk-opgerold-vijf-arrestaties-in-nederland
Operation PhishOFF
Hoe ging Phishing-as-a-Service-groep LabHost te werk?
https://www.techzine.nl/blogs/security/544684/hoe-ging-phishing-as-a-service-groep-labhost-te-werk/
En je hebt nooit een betaald McAfee abonnement gehad, ben je maf als je zo'n mailtje niet snel weggooit.
Je krijgt er later wellicht nog drie toegestuurd.
De cybercrimineel speculeert of iemand later een abonnement heeft genomen
op de av, die op het device stond bij aankoop.
Maar denk je pas, nadat je geklikt hebt, nou ja. Eigen schuld, dikke bult.
Trouwens er wordt m.i. weinig aandacht besteed aan cybercrime ook door de handhavende diensten.
Er zou een dienst IT-handhaving moeten komen.
Er zitten genoeg black hats thuis of op het werk rijp om op te pakken.
Ze kunnen heel lang doorgaan met hun cybercriminele activiteiten eer het opvalt.
Maar ook kunnen de handhavers soms worden betaald om cybercrime niet in de weg te zitten.
Je knijpt dan een oogje toe, begrijp je wel of het is ineens een "statelijke actie".
Bovenstaande zal wel niet geplaatst worden, denk ik, te waarheidsgetrouw. ;)
luntrus
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
