Nätfiske med falska avsändare och PDF-bilagor
CERT-SE har observerat flera fall av nätfiske med gemensamt modus av spoofade avsändarnamn och PDF:er.
I denna nätfiskekampanj ser e-postmeddelandena ut att komma från den egna organisationen, sk. e-post spoofing. E-postmeddelandet har en bifogad skadlig PDF som mottagaren uppmanas klicka på. E-post spoofing innebär att en angripare ändrar sitt namn i e-postmeddelandets avsändarnamn till exempelvis en organisations eller individs namn i syfte att utge sig från att vara någon annan. Detta görs genom att ändra i e-postmeddelandets header. Det kan vara svårt för en mottagare att upptäcka detta eftersom i vissa e-postprogram är det endast detta namn som visas och inte avsändaradressen.
CERT-SE har analyserat ett antal fall där PDF:er har som används i bilaga i e-postmeddelandet och efterföljande modus. PDF:en har ett namn med endast en eller två tecken och med innehåll av en sida till en känd organisation. Eftersom det står att den skickade PDFen är skyddad, uppmanas mottagaren att klicka på “OPEN” för att kunna se dokumentet. OPEN-knappen är en länk till en webbplats (olika domäner har observerats).
PDF är ett vanligt använt filformat som har stöd för många funktioner. Bland annat kan PDF användas för att exekvera javascript-kod. PDF:er kan också innehålla missledande information med syftet att få användaren att klicka på en länk och där ladda ner kod eller skriva in sina inloggningsuppgifter till diverse tjänster. Det finns olika sätt att göra PDF-hantering säkrare, men dessa metoder minskar ofta funktionaliteten hos filtypen vilket är en avvägning som måste göras före föreslagna åtgärder implementeras. Olika PDF läsare har olika mycket stöd och säkerhet, exempelvis stöd för “säkert läge”, som stänga av javascript och hyperlänkar i PDF:er.
Rekommendationer
- CERT-SE uppmanar till vaksamhet på nätfiske i allmänhet och den ovan beskrivna typen i synnerhet. Kontakta gärna CERT-SE med observationer och/eller exempel på mottagna e-postmeddelanden.
- Utbilda er organisations användare på att bli bättre på att identifiera denna typ av nätfiske, att de ska undersöka avsändaradress och inte enbart namnet i misstänkta e-post.
- Underlätta för era användare genom att markera e-post som kommer från externa avsändare. Då blir det tydligt om ett interna mejlkonto spoofas.
- CERT-SE rekommenderar användning av multifaktorautentisering. Inför effektiv lösenordspolicy.
- Se över eventuella påverkade användarkonton och vidta nödvändiga åtgärder. Har någon inom er organisation drabbats rekommenderar CERT-SE att gå igenom konfigurationen av kontot.
- Utöver det bör alla medarbetare informeras om att de ska vara extra vaksamma och upplys om vilken metodik som används vid nätfiske. Uppmana användare som vet att de klickat på en länk och angett sina inloggningsuppgifter att meddela it-ansvarig så snart som möjligt.
- Se över lämpliga alternativ för att göra PDF-hantering säkrare, tex. sätta standard för vilken programvara som ska öppna PDF:er i er miljö. Vissa PDF-läsare har stöd för “säkert läge” som stänger av javascript och hyperlänkar.
Nätfiske är vanligt förekommande och går ut på att lura till sig känslig information som användaruppgifter, lösenord, kontouppgifter, kreditkortsinformation med mera. Dessa attacker riktas ofta mot organisationer som hanterar olika typer av personuppgifter, finansiella transaktioner av olika slag och/eller annan känslig information.
CERT-SE har tidigare publicerat information om att förebygga och identifiera nätfiske. Se även artiklarna Flera fall av likartat nätfiske mot svenska verksamheter och CERT-SE uppmanar alla organisationer att skärpa uppmärksamheten kring nätfiske och DDoS.