Grote (?) Nederlandstalige phishingpoging ABN Amro?

Normaal lach ik er een beetje om, maar dit is wel wat serieuzer. Ik kreeg het volgende bericht:

quote:

Geachte gebruiker!

Onze bank houdt regelmatig toezicht over de laatste vorderingen ter tegenstrijding van netpiraten en treft steeds preventiemaatregelen om zijn klanten tegen opscheppers te beschermen. Een groep vakmensen op het gebied van computerveiligheid is te weten gekomen van een grove fout in het protocol SSL, die door een hacker kan worden gebruikt om toegang te krijgen tot uw bankrekening.

Vanaf morgen wordt er in het toegangsysteem tot klantenrekeningen een nieuw protocol SSL3 in gebruik genomen, dat op het huidige moment als het meest veilig wordt beschouwd. De klanten die gebruik maken van Internet-browsers zonder SSL3 kunnen dus geen toegang krijgen tot hun bankrekeningen via het Intenet.

U dient uw browser te vernieuwen. Onze vakmensen hebben de vernieuwingen voor alle browsertype�s uitgewerkt. De vernieuwing is aan deze brief bijgelegd. U hoeft de programma-module gewoon te starten en de vernieuwing wordt automatisch opgeslagen.

De programmamodule ms_ssl3_upd.exe is bijgelegd.

Bedankt voor uw ondersteuning en wij hopen verder met u samen te werken.

Aangezien ik ABN Amro klant ben (toevallig waarschijnlijk) begon ik het dus te lezen, en op zich vond ik het nog niet eens zo'n vreemd bericht, opmaak klopte ook wel redelijk van het bericht. Tot dat ik zag dat er een .exe was bijgevoegd, dat doet een bank natuurlijk niet. Ik ben eens in de headers gaan kijken, en het kwam inderdaad van een of andere gehackte server af.

Ik weet verder niet wat die .exe doet en of het inderdaad phishing is of gewoon andere rotzooi, maar ik weet wel dat hier waarschijnlijk veel mensen in gaan trappen.

Dan zou ik ABN maar eens contacten, wat zij erover weten en dat zij erachteraan moeten gaan!

Heb jij ook een email gestuurd naar ABN Amro wat dit betreft? Dat lijkt me wel heeeeeeel handig.

Dit is gewoon phishing. Iets dergelijks wordt gewoon per brief gestuurd en het is technisch mogelijk je de complete toegang te ontzeggen totdat je, als het echt is, de boel geregeld hebt.

De opmaak van de brief? Allerminst zakelijk. D'r wordt teveel geprobeerd zakelijk en formeel over te komen en daar gaan ze fout in.

Dit hadden ze al op de site staan:

http://www.abnamro.nl/nl/...l?pos=lb_20070321_nepsite

Zou er een databaseje met E-Mailadressen gekraakt zijn?

Ik ga ze even bellen, ik kom zo terug.

Dit is inderdaad een erg goede poging!

Zal zo maar eens wat familie en zo mailen dat ze hier niet op in moeten gaan, want dit zie ik idd als iets waar heel veel mensen in kunnen gaan trappen.

quote:

SkyStreaker schreef op donderdag 22 maart 2007 @ 09:50:
Dit is gewoon phishing. Iets dergelijks wordt gewoon per brief gestuurd en het is technisch mogelijk je de complete toegang te ontzeggen totdat je, als het echt is, de boel geregeld hebt.

De opmaak van de brief? Allerminst zakelijk. D'r wordt teveel geprobeerd zakelijk en formeel over te komen en daar gaan ze fout in.

Voor ons ja, maar voor de normale mens die niet een tweaker in het gezin heeft om op zoiets te hameren zou dit wel eens bij 10%? tot resultaat kunnen leiden. Dat zou toch heel veel zijn, al is het maar 5%..

IntToStr wijzigde dit bericht 22-03-2007 09:55 (62%)

Ik heb de mail net in 3-voud ook gehad, ik ben geen klant van de ABN...

quote:

Martijn schreef op donderdag 22 maart 2007 @ 09:54:
Ik heb de mail net in 3-voud ook gehad, ik ben geen klant van de ABN...

Nee precies als ik iets van de Postbank binnen krijg dan lach ik er ook om, maar als ik al twee paragraafjes gelezen heb voordat ik doorheb dat het bullshit is dan vermoed ik dat er ook wel een boel mensen te vinden zijn die gewoon alles doen wat er staat.

Ik hang nu in de wacht....

Heb ze net aan de lijn gehad. Natuurlijk werden ze overspoeld. Heb het volgende te horen gekregen:

- Stuur het mailtje door naar [e-mail] met vermelding van tel en/of reknr. Ik doe voor de zekerheid maar even de headers er bij.

Voor mensen die het al geinstalleerd hadden:

- Onbekend wat het precies is
- Wis de historie en tijdelijke bestanden
- Typ het adres in en gebruik geen bookmarks.

Dus ik denk dat ze in ieder geval vermoeden dat het om een man in the middle attack gaat.

Ik heb hem ook net gehad. Als ik zoveel moeite zou doen, zou ik er wel voor zorgen dat de bijgevoegde .exe dezelfde naam heeft als degene die in de mail wordt genoemd. Dan heb je pas echt veel leute die erin trappen.

edit: Ben geen klant van ABN, dus mailtje gaat "random"rond

MrAngry wijzigde dit bericht 22-03-2007 10:53 (12%)

Gister was phising bij ABN al in het nieuws: http://www.nu.nl/news/101...o_onderzoekt_nepmail.html

quote:

BikkelZ schreef op donderdag 22 maart 2007 @ 10:02:
- Onbekend wat het precies is
- Wis de historie en tijdelijke bestanden
- Typ het adres in en gebruik geen bookmarks.

Als je de exe al gedraaid hebt werkt dit niet meer zeker voor 100%, Voor normaal gebuik zijn dit goede richtlijnen, voor een gehackte pc niet meer voldoende.

Als je de exe gedraaid hebt kun je beter vanaf die pc niet meer je abn-amro zaken regelen totdat je weet wat het exe filetje doet.

leuk_he wijzigde dit bericht 22-03-2007 10:44 (9%)

Wel een aparte mail, vooral als je op een Apple werkt. Hoe moet ik nu een .exe-bestand installeren op Safari? Gek genoeg heb ik geen mail van ze ontvangen.
Je zou de phishers bijna een mailtje terugsturen.

Wat ik me alleen afvraag, hoe komt de 'maker' aan de emailadressen van de klanten van de ABN?

quote:

SinergyX schreef op donderdag 22 maart 2007 @ 10:48:
Wat ik me alleen afvraag, hoe komt de 'maker' aan de emailadressen van de klanten van de ABN?

Dat vroeg ik mij ook af, alleen denk ik dat dit een hagelschot is welke ook niet-abnamro klanten zullen krijgen.
Het gebruikte email adres is niet degene die ik met abnamro zelf gebruik in correspondentie.

quote:

SinergyX schreef op donderdag 22 maart 2007 @ 10:48:
Wat ik me alleen afvraag, hoe komt de 'maker' aan de emailadressen van de klanten van de ABN?

Niet, ook niet abn-klanten zijn gemaild. Stuur een mail naar een paar-duizend mailadressen, statistisch gezien is dan x-procent altijd klant bij ABN.

Er zijn 2 verschillende mailtjes in inloop, de phising versie en de virus-SSL3-update versie.

Die SSL3 zie ik wel overal komen, maar vooralsnog alleen bij ABN klanten die phising versie gezien.
Laatste zal wel toeval zijn

SinergyX wijzigde dit bericht 22-03-2007 10:55 (7%)

Opmaak klopte wel redelijk???? Nou vond ik dus absoluut niet! Beetje krom Nederlands en totaal ongeloofwaardig.
Komt nog eens bij dat een bank je nooit dit soort meuk zal mailen.

Het was trouwens allang in het nieuws

quote:

leuk_he schreef op donderdag 22 maart 2007 @ 10:44:
[...]


Als je de exe al gedraaid hebt werkt dit niet meer zeker voor 100%, Voor normaal gebuik zijn dit goede richtlijnen, voor een gehackte pc niet meer voldoende.

Als je de exe gedraaid hebt kun je beter vanaf die pc niet meer je abn-amro zaken regelen totdat je weet wat het exe filetje doet.

Nee met een .exe bestandje kun je volgens mij gewoon in HOSTS aanpassingen gaan doen. Dan ben je echt niet meer afhankelijk van wat iemand intypt in zijn balk.

quote:

InZane schreef op donderdag 22 maart 2007 @ 11:00:
Opmaak klopte wel redelijk???? Nou vond ik dus absoluut niet! Beetje krom Nederlands en totaal ongeloofwaardig.
Komt nog eens bij dat een bank je nooit dit soort meuk zal mailen.

Het was trouwens allang in het nieuws

Heel toevallig is er ook een andere mail gestuurd waarin zoiets als 'Lieve klant' ofzo stond. Misschien dat je daar op doelt? Deze is niet in het nieuws.

Ik krijg 'em net binnen via mijn Multikabel-adres, maar hij wordt al gemarkeerd als spam.
MK is dus keurig op de hoogte.

Hier ook ontvangen op twee e-mailadressen, de SSL3-versie. De adressen waar ik dit op heb ontvangen hebben geen mailbox en worden geforward naar m'n persoonlijke mail. Op één van die adressen ontvang ik zo'n 100 spammails per dag en de ander is een catch-all-box dus ik neem 't bij voorbaat al niet serieus. Bij beide mails zit een verschillende bijlage, de 235.exe en 589.exe.

Ik ben wel klant bij de ABN Amro maar heb daar een rekening die ik al zeker 5 jaar niet gebruik, ik heb deze mailadressen daar in elk geval nooit op gegeven. Ik vraag me überhaupt af of ik daar ooit een mailadres heb opgegeven maar mocht dat zo zijn dan bestaat die in elk geval al niet meer.

D'r wordt ook een erg vreemd taalgebruik in die mail gebruikt. Alsof sommige zaken uit een andere taal letterlijk zijn vertaald ...

Wouter! wijzigde dit bericht 22-03-2007 11:08 (9%)

Voor geïnteresseerden nog even wat headers:

From [e-mail]  Thu Mar 22 09:58:06 2007
Return-Path: <[e-mail]>
X-Original-To: [e-mail]
Delivered-To: [e-mail]
Received: from schuimpje.snt.utwente.nl (schuimpje.snt.utwente.nl [130.89.175.3])
	by melon.student.utwente.nl (Postfix) with ESMTP id 1464D2CC2E
	for <[e-mail]>; Thu, 22 Mar 2007 09:58:06 +0100 (CET)
Received: from mx1.utsp.utwente.nl ([130.89.2.12] helo=mx.utwente.nl)
	by schuimpje.snt.utwente.nl with esmtp (Exim 4.63)
	(envelope-from <[e-mail]>)
	id 1HUJ6z-0006lg-0B
	for [e-mail]; Thu, 22 Mar 2007 09:57:35 +0100
Received: from denhaag.ewi.utwente.nl (denhaag.ewi.utwente.nl [130.89.10.11])
          by mx.utwente.nl (8.12.10/SuSE Linux 0.7) with ESMTP id l2M8vTCv005803
          for <[e-mail]>; Thu, 22 Mar 2007 09:57:29 +0100
Received: from mx.utwente.nl (mx3.utsp.utwente.nl [130.89.2.14])
	by denhaag.ewi.utwente.nl (8.13.6/8.13.6) with ESMTP id l2M8vQSK027357;
	Thu, 22 Mar 2007 09:57:26 +0100 (MET)
Received: from acer-1424f82190 (77-97-255-47.cable.ubr08.edin.blueyonder.co.uk [77.97.255.47])
          by mx.utwente.nl (8.12.10/SuSE Linux 0.7) with ESMTP id l2M8uVus022701
          for <[e-mail]>; Thu, 22 Mar 2007 09:56:54 +0100
Received: from 204.92.92.1 (HELO mail2.algorithmics.com)
     by inter-actief.utwente.nl with esmtp (,59?,YCU>N (21K)
     id 7F/<J6-P-6(::-.B
     for [e-mail]; Thu, 22 Mar 2007 08:56:37 +0000
Message-ID: <01c76c5f$fffecc90$6c822ecf@winagqdmw>
From: "[e-mail]" <[e-mail]>
To: <[e-mail]>
Subject: {Filename?} Vernieuw uw Internet-browser met SSL3 zo spoedig mogelijk.
Date: Thu, 22 Mar 2007 08:56:37 +0000
MIME-Version: 1.0
Content-type: multipart/mixed; boundary="----=_NextPart_000_000F_01C76C5F.FFFECC90"; type="multipart/alternative"

quote:

BikkelZ schreef op donderdag 22 maart 2007 @ 11:01:
[...]


Heel toevallig is er ook een andere mail gestuurd waarin zoiets als 'Lieve klant' ofzo stond. Misschien dat je daar op doelt? Deze is niet in het nieuws.

Nee die bedoelde ik niet. Heb dezelfde als jij ontvangen vanochtend, alleen werd ie direct in de prullenbak gegooid omdat ie gemarkeerd was als spam

quote:

X-Spam-Level: ********************
X-Spam-Status: Yes, score=20.2 required=5.0 tests=BAYES_00,DATE_IN_PAST_06_12,
EXTRA_MPART_TYPE,FORGED_RCVD_HELO,HELO_DYNAMIC_DHCP,HELO_DYNAMIC_HCC,
HELO_DYNAMIC_IPADDR,HTML_50_60,HTML_IMAGE_ONLY_28,HTML_MESSAGE,
RAZOR2_CF_RANGE_51_100,RAZOR2_CF_RANGE_E4_51_100,RAZOR2_CHECK,
RCVD_FORGED_WROTE,RCVD_IN_SORBS_DUL autolearn=no version=3.1.7
X-Spam-Report:
* 3.1 HELO_DYNAMIC_DHCP Relay HELO'd using suspicious hostname (DHCP)
* 4.1 HELO_DYNAMIC_HCC Relay HELO'd using suspicious hostname (HCC)
* 1.1 EXTRA_MPART_TYPE Header has extraneous Content-type:...type= entry
* 4.2 HELO_DYNAMIC_IPADDR Relay HELO'd using suspicious hostname (IP addr
* 1)
* 2.8 RCVD_FORGED_WROTE Forged 'Received' header found ('wrote:' spam)
* 0.1 FORGED_RCVD_HELO Received: contains a forged HELO
* 0.8 DATE_IN_PAST_06_12 Date: is 6 to 12 hours before Received: date
* 0.1 HTML_50_60 BODY: Message is 50% to 60% HTML
* -2.6 BAYES_00 BODY: Bayesian spam probability is 0 to 1%
* [score: 0.0000]
* 1.9 HTML_IMAGE_ONLY_28 BODY: HTML: images with 2400-2800 bytes of words
* 0.0 HTML_MESSAGE BODY: HTML included in message
* 1.5 RAZOR2_CF_RANGE_E4_51_100 Razor2 gives engine 4 confidence level
* above 50%
* [cf: 56]
* 0.5 RAZOR2_CHECK Listed in Razor2 (http://razor.sf.net/)
* 0.5 RAZOR2_CF_RANGE_51_100 Razor2 gives confidence level above 50%
* [cf: 56]
* 2.0 RCVD_IN_SORBS_DUL RBL: SORBS: sent directly from dynamic IP address
* [71.149.142.169 listed in dnsbl.sorbs.net]
Received: from adsl-71-149-142-169.dsl.stlsmo.sbcglobal.net

InZane wijzigde dit bericht 22-03-2007 11:09 (0%)
Reden: Damn dawuss :( ;)

Hier had 'ie inderdaad ook een behoorlijke spam rating