HTG förklarar: vad spjut nätfiske är och varför de tar ner stora företag

Nyheten är full av rapporter om “spjutnätfiskeattacker” som används mot regeringar, storföretag och politiska aktivister. Spjutnätfiskeattacker är nu det vanligaste sättet företagsnät äventyras, enligt många rapporter.

Spjut-phishing är en nyare och farligare form av nätfiske. I stället för en gjutning ett stort netto i hopp om att fånga någonting alls, hantverk spjut phisher en noggrann attack och syftar det på enskilda personer eller en viss avdelning.

Phishing är det praxis att härma någon trovärdig för att försöka få din information. Till exempel kan en nätfiskare kanske skickas ut skräppost låtsas vara från Bank of America ber dig att klicka på en länk, besöka en falsk Bank of America webbplats (en webbplats för nätfiske), och ange dina bankuppgifter.

Nätfiske är inte bara begränsat till e-post, men. En phisher kan registrera en chatt namn som “Skype Support” på Skype och kontaktar dig via Skype meddelanden, säger att ditt konto har äventyrats och de behöver ditt lösenord eller kreditkortsnummer för att verifiera din identitet. Detta har också gjorts i online-spel, där bedragare efterliknar spel administratörer och skicka meddelanden som frågar efter ditt lösenord, som de skulle använda för att stjäla ditt konto. Phishing kan också ske över telefon. I det förflutna, kan du ha fått telefonsamtal som påstår sig vara från Microsoft och säger att du har ett virus du måste betala för att ta bort.

Phishers cast allmänhet ett mycket brett nät. En Bank of America phishing e-post kan skickas till miljontals människor, även personer som inte har Bank of America konton. På grund av detta, är phishing ofta ganska lätt att upptäcka. Om du inte har en relation med Bank of America och få ett mail som påstår sig vara från dem, bör det vara mycket tydligt att e-post är en bluff. Nätfiskare beror på det faktum att om de kontaktar tillräckligt många människor kommer någon så småningom falla för deras bluff. Detta är av samma skäl som vi har fortfarande skräppost – någon där ute måste falla för dem eller de skulle inte vara lönsamt.

Ta en titt på anatomi en phishing e-post för mer information.

Om traditionella nätfiske är handlingen att gjuta ett brett nät i hopp om att fånga något, är spjut phishing handlingen att noggrant rikta en specifik individ eller organisation och skräddarsy attacken till dem personligen.

Medan de flesta phishing e-post är inte mycket specifik, använder ett spjut-phishing attack personlig information för att göra bluff verkar riktigt. Till exempel, snarare än att läsa “Dear Sir, vänligen klicka på denna länk för fantastiska rikedom och rikedom” e kan säga “Hej Bob, läs denna affärsplan vi utarbetade vid tisdagens möte och låt oss veta vad du tycker.” E- kan tyckas komma från någon du känner (eventuellt med en förfalskad e-postadress, men möjligen med en riktig e-postadress efter personen äventyras i en nätfiskeattack) snarare än någon du inte känner. Begäran mer noggrant utformade och ser ut som det skulle kunna vara legitim. E-postmeddelandet kan hänvisa till någon du känner, ett köp som du har gjort, eller en annan bit av personlig information.

Spjut nätfiske på mål med högt värde kan kombineras med en zero-day utnyttja för maximal skada. Till exempel kan en bedragare e en individ vid en viss verksamhet säger “Hej Bob, skulle du ta en titt på den här verksamheten rapport? Jane sa att du skulle ge oss lite feedback. “Med en legitim utseende e-postadress. Länken kan gå till en webbsida med inbäddade Java eller Flash-innehåll som drar nytta av zero-day att kompromissa datorn. (Java är särskilt farlig, eftersom de flesta människor har föråldrade och sårbara Java plug-ins installerade.) När datorn äventyras, kan angriparen tillgång till deras företagsnätverk eller använda sin e-postadress för att lansera riktade spjutnätfiskeattacker mot andra individer i organisation.

En bedragare kan också bifoga en farlig fil som förtäckt att se ut som en ofarlig fil. Till exempel kan en spjut-phishing e-post har en PDF-fil som är faktiskt an.exe bifogad fil.

Spjut nätfiske används mot stora företag och regeringar att få tillgång till deras interna nätverk. Vi vet inte om varje företag eller regering som har äventyrats av framgångsrika spjutnätfiskeattacker. Organisationer ofta inte avslöja den exakta typ av attack som äventyras dem. De behöver inte ens vill erkänna att de har blivit hackad alls.

En snabb sökning visar att organisationer, däribland Vita huset, Facebook, Apple, amerikanska försvarsdepartementet, New York Times, Wall Street Journal, och Twitter har alla sannolikt äventyrats av spjutnätfiskeattacker. De är bara några av de organisationer som vi vet har äventyrats – omfattningen av problemet är sannolikt mycket större.

Om en angripare verkligen vill kompromissa ett högt värde mål, ett spjut-phishing attack – bragd kanske i kombination med en ny zero-day köpt på den svarta marknaden – är ofta ett mycket effektivt sätt att göra det. Spjut nätfiske nämns ofta som orsak när ett högt värde mål bryts.

Som en individ, du är mindre sannolikt att bli föremål för en sådan sofistikerad attack än regeringar och stora företag är. Emellertid kan angripare fortfarande försöker använda spjut-phishing taktik mot dig genom att införliva personlig information i phishing e-postmeddelanden. Det är viktigt att inse att nätfiske blir mer sofistikerade.

När det gäller nätfiske, bör du vara vaksam. Håll din programvara up-to-date så att du är bättre skyddade mot föra äventyras om du klickar på länkar i e-postmeddelanden. Var extra försiktig när du öppnar bifogade filer i e-postmeddelanden. Akta dig för ovanliga begäran om personlig information, även sådana som verkar som om de skulle kunna vara legitim. Inte återanvända lösenord på olika webbplatser, ifall ditt lösenord gör komma ut.

Nätfiske ofta försöker göra saker som legitima företag aldrig skulle göra. Din bank kommer aldrig att skicka dig och fråga efter ditt lösenord, ett företag som du har köpt varor från kommer aldrig att skicka dig och be om ditt kreditkortsnummer, och du kommer aldrig få ett snabbmeddelande från en legitim organisation ber om ditt lösenord eller annan känslig information. Klicka inte på länkar i e-post och ge ut känslig personlig information, oavsett hur övertygande phishing e-post och phishing webbplats.

Liksom alla former av phishing, är spjut-phishing en form av social ingenjörskonst attack som är särskilt svåra att försvara sig mot. Allt som krävs är en person som gör ett misstag och angriparna kommer att ha etablerat ett fotfäste i ditt nätverk.

Image Credit: Florida Fish and Wildlife på Flickr

Det är värt att notera att många av dessa mycket personligt angrepp fungerar eftersom folk inte satt sin integritet kontroller ordentligt på sociala nätverk – desto mer att människor kan ta reda på om du och dina vänner, desto mer sannolikt att de kan lura dig in av misstag klicka på fel sak, eller ju mer de kan räkna ut svaren på de hemliga frågor som skyddar dina lösenord.

Vilket är en annan anledning att sekretess är viktigt.

Jag läste om hur en forskare kunde skapa falska konton och bli vänner med nästan vem som helst på Facebook, bara genom att bli vänner med sina vänner. Ju fler vänner som de kunde få, desto mer de kan övertyga att lägga dem.

Det är därför jag har bara mina verkliga vänner som vänner på Facebook. Om jag känner inte dig, jag vägrar att lägga dig.

Mina vänner kan aldrig bli attackerade via e-post. Varför? De använder endast e-post för att skapa falska (ibland verkliga) Facebook-konton

I fall någon är intresserad, det är en Lionfishen att dykaren har spetsade. De är en invasiv art på västra halvklotet och orsakar problem. Många dykare och Dyk operationer försöker döda någon Lion som de ser, och de är faktiskt ganska gott, när man klipper bort gift ryggar.

I fall någon är intresserad, det är en människa som har spetsade drakfiskar. Människan är en invasiva arter i alla hjärnhalvorna och orsakar problem. De är faktiskt ganska gott, när man tar bort spjutet.

Trots vad du kan ha lärt i skolan, finns det bara fyra stora sjöarna, inte 5, Lake Michigan och Lake Huron är inte distinkta vattensamlingar, men en massiv kropp av vatten sällskap av Straits of Mackinac.