[Phishing/Pharming] 6000 en 7000+ euro afgeboekt

[Irritinus]

Vandaag was het weer zo ver, ik kom bij mijn ouders thuis 6.000 euro afgeboekt van de ABN Amro betaalrekening waar ze geld tijdelijk op hadden gezet voor de verbouwing.
Enkele weken geleden bij een achterbuurman iets meer dan 7.000 euro van zijn ING zakelijk rekening afgehaald. Twee soort gelijke situaties, een laptop met windows 7, nagenoeg alle updates en bij de ene Avast en de ander Microsoft Security Essentials als virusscanner.
Het betreft in beide gevallen een SEPA transactie naar buitenlandse rekeningnummers, 1 naar Spanje (Christina nog iets) en 1 naar Frankrijk (Een persoon genaamd Yuriv) Heb de gedetaileerde gegevens nu niet hier.

Mijn vader was de klos met de rekening van de ABN Amro, hij wilde een betaling doen en logde in, adres in de adresbalk leek te kloppen en hij kreeg een foutmelding met de melding nog een keer in te loggen. (Helaas geen specifieke details) Ik heb ze regelmatig uitgelegd met bankieren waar ze op moeten letten en dat doen ze dan ook (adresbalk, vreemde fouten, etc). Regelmatig gevraagd aan mij om mee te kijken of doorsturen van mailtjes van banken naar mij etc.

Ik heb het vermoeden dat bij beide gevallen een 'slapende services' op de achtergrond draait die bij een groot bedrag op een betaalrekening actief wordt. Dit vermoeden heb ik omdat mijn ouders eigenlijk nooit echt zulke bedragen op de betaalrekening hebben, maar dit meestal op de spaarrekening.

In beide gevallen de fraudeafdelingen gebeld van de banken en melding gemaakt, aangifte voor bankfraude bij de politie gedaan en de achterbuurman heeft zijn geld al weer terug gehad van de ING en bij mijn ouders moet de molen nog beginnen bij de ABN, dus ben benieuwd hoe lang dat gaat duren.

Ik heb verschillende vragen die ik jullie wil voorleggen voor advies:

1. Op de pc van de achterbuurman heb ik enkele files gevonden die ik niet vertrouw (waaronder een executable) en die wil ik graag decompilen. Weten jullie goede tooltjes hiervoor (Windows/Linux)? Ook heb ik enkele dubieze fake webadressen gevonden van de abn en ing.

2. Bij mijn vader op de laptop nagenoeg geen sporen terug te vinden, wel wat activiteit rond de tijd van gebeuren in de service logboeken, maar voor de rest geen dubieuze files. Heeft er nog iemand advies waar ik het beste naar kan kijken. Ik vrees dat het allemaal erg netjes opgeruimd is door de phisher.

3. Aangezien mijn ouders, achterbuurman en vele andere kennissen van mij dit ook allemaal horen zullen ze zich nu wel achter de oren krabben om online te bankieren. Dus ik zat te denken om (aangezien het allemaal Windows pcs zijn) Virtual PC te installeren, host files aan te passen zodat alleen nog de bank sites benaderd kunnen worden in de virtuele omgeving en een virusscanner installeren. Als ze dan willen bankieren dan kunnen ze dat daar doen en geen andere acties uitvoeren.
Nu vroeg ik mij af bescherm ik ze hiermee voldoende of kunnen ze buiten de VM om nog een man in the middle attack uitvoeren of niet?

Aangezien ik dit bij een aantal kennissen/buren/familieleden wil toe gaan passen moet het ook nog wel een beetje gebruiksvriendelijk blijven.

Hebben jullie nog ideën/ervaringen hiermee?
(Allebei de Phishing acties zijn vanzelfsprekend fouten/onhandigheid van de gebruikers, dat weet ik al dus die feedback hoeven jullie niet meer te geven.)

[jan99999]

Nee nog niet veilig.

Gewoon een aparte pc (oude pc)voor geldzaken.
Deze zo hoog mogelijk beveiligen (voor windows)(en alleen firewall en virusscanner is niet genoeg), nog beter is om linux te installeren.
Met linux heb je geen firewall en geen virusscanner nodig, en je bent 100x veiliger dan windows.

Dus aparte pc,
dan eerst updaten,
dan internet bankieren, online kopen,pay pal en aandelen handelen.

Je kan nog op een aparte externe hd/usb stick hetzelfde doen , maar dit in niet handig en is langzaam.
dus oude pc is beter.

Je zult windows nooit veilig krijgen voor dit soort zaken.

[derx666]

hele rare vraag wellicht, maar waarom denk je dat je voor linux geen firewall nodig zou hebben ?
Een gehackte linux machine waarvan de dns records verbouwd zijn zodat ie ipv naar bv abnamro.nl, naar abramro.com gaat ofzo valt een gemiddelde gebruiker echt niet op. Zeker niet als ze denken veilig te zijn met linux. Er is niks wat 100% veiligheid kan garanderen, behalve oplettendheid en controle controle controle, en zelfs dat is niet 100%....

[ Voor 3% gewijzigd door derx666 op 13-03-2012 23:39 ]

[Brahiewahiewa]

Om on-topic te blijven: kijk even naar de proxy-instellingen van de PC.
Een veel gebruikte aanvalsvorm is om in de browser een proxy-server op te geven.
Normale websites worden 1:1 doorgegeven, maar de websites voor internetbankieren worden onderschept.

[FlipFluitketel]

Als die pc's nog niet opnieuw geinstalleerd zijn, scan ze dan eens met TDSSKiller.
Ik was laatst ook bij iemand die Avast gebruikte en klaagde over traag internet en dat ie een foutmelding had gekregen bij ABN. In plaats van opnieuw in te loggen sloot hij het af en toen hij weer inlogde op de site zag ie een overschrijving staan wat hij niet had aangemaakt.

[Verwijderd]

Ik snap dat mensen de "verbinding" kunnen omvoeren en dat je dan via hun inlogt en hun erbij kunnen. Wat ik echter niet begrijp is hoe ze geld over kunnen boeken. Je moet bij overboeken via je e.dentifier een code invoeren en dan word het pas geaccepteerd. Hoe omzeilen deze criminelen deze stap?

[SinergyX]

Verwijderd schreef op woensdag 14 maart 2012 @ 09:44:
Ik snap dat mensen de "verbinding" kunnen omvoeren en dat je dan via hun inlogt en hun erbij kunnen. Wat ik echter niet begrijp is hoe ze geld over kunnen boeken. Je moet bij overboeken via je e.dentifier een code invoeren en dan word het pas geaccepteerd. Hoe omzeilen deze criminelen deze stap?

Dat was mijn gedachte ook meteen. Zoals bij rabo, moet je naast inloggen met je rekenmachine ook elke betaling apart autoriseren met je rekenmachine. Ook ING Zakelijk (wat wij hier hebben) werkt met challenge/response, daar krijg je ook geen betaling eruit met enkel inloggen.

Daarnaast heb je bij grote bedragen (dacht boven 1000 euro) bij Rabobank ook een 2de challenge nodig die ene code maakt icm met het totaal bedrag, daar kan je toch als 'man in the middle' helemaal niets tussenkrijgen?

[3raser]

Een omslachtige (maar volgens mij erg veilige) methode is een VM combineren met een externe firewall (bijvoorbeeld de router/modem).
Je geeft je VM een apart IP adres en laat die alleen communiceren met de IP adressen van de bank. Alle overige data wordt geblokkeerd. Zowel inkomend als uitgaand(!!).

Maar zoals ik al zei, erg omslachtig. En je hebt een aparte firewall nodig.

[Irritinus]

Even wat antwoordjes op een aantal berichten van jullie:

Om on-topic te blijven: kijk even naar de proxy-instellingen van de PC.
Een veel gebruikte aanvalsvorm is om in de browser een proxy-server op te geven.
Normale websites worden 1:1 doorgegeven, maar de websites voor internetbankieren worden onderschept.

Heb helaas geen proxy kunnen vinden en een tracert/ping op de ABNAmro site lopen ook dood.

Als die pc's nog niet opnieuw geinstalleerd zijn, scan ze dan eens met TDSSKiller.
Ik was laatst ook bij iemand die Avast gebruikte en klaagde over traag internet en dat ie een foutmelding had gekregen bij ABN Amro. In plaats van opnieuw in te loggen sloot hij het af en toen hij weer inlogde op de site zag ie een overschrijving staan wat hij niet had aangemaakt.

Heb de pc van mijn achterbuurman geformateerd en ga dat bij die van mijn ouders ook doen. Ik ga nog eerst even verder bestuderen wat ik kan vinden. Zal dat tooltje ook even proberen! Thanks voor de tip.

Ik snap dat mensen de "verbinding" kunnen omvoeren en dat je dan via hun inlogt en hun erbij kunnen. Wat ik echter niet begrijp is hoe ze geld over kunnen boeken. Je moet bij overboeken via je e.dentifier een code invoeren en dan word het pas geaccepteerd. Hoe omzeilen deze criminelen deze stap?

Ze faken dat je eerste keer inloggen foutief is, maar deze is wel correct. Na de eerste keer inloggen zetten ze op de achtergrond een betaling klaar en dan laten ze je nogmaals inloggen, waarmee je de betaling toch accepteert. Dat is het brakken van de e.dentifier van de ABNAmro. Ik weet niet of dat met de e.dentifier 2 ook is? Kan het op de website namelijk niet terugvinden van de ABNAmro.

Dat was mijn gedachte ook meteen. Zoals bij rabo, moet je naast inloggen met je rekenmachine ook elke betaling apart autoriseren met je rekenmachine. Ook ING Zakelijk (wat wij hier hebben) werkt met challenge/response, daar krijg je ook geen betaling eruit met enkel inloggen.

Daarnaast heb je bij grote bedragen (dacht boven 1000 euro) bij Rabobank ook een 2de challenge nodig die ene code maakt icm met het totaal bedrag, daar kan je toch als 'man in the middle' helemaal niets tussenkrijgen?

Mijn achterbuurman werkte nog met een TAN code lijstje (hopeloos verouderd) bij de ING zakelijk rekening, hij was er niet eens van op de hoogte dat het anders mogelijk was. Bij de Rabo heb je een signeer knop en een inlogknop, dus als je de tweede keer inloggen met de signeerknop doet dan moet je het eigenlijk al door hebben. Al zullen er gegarandeerd mensen zijn die er toch intrappen (de fake sites lijken steeds echter tegenwoordig.)

Een omslachtige (maar volgens mij erg veilige) methode is een VM combineren met een externe firewall (bijvoorbeeld de router/modem).
Je geeft je VM een apart IP adres en laat die alleen communiceren met de IP adressen van de bank. Alle overige data wordt geblokkeerd. Zowel inkomend als uitgaand(!!).

Maar zoals ik al zei, erg omslachtig. En je hebt een aparte firewall nodig.

Bij mensen met een apart routertje met iets uitgebreidere instellingen zou ik het zo op kunnen lossen misschien, maar eenvoudig is natuurlijk anders..

Als er mensen nog ideeën hebben dan hoor ik het graag!

[ Voor 1% gewijzigd door Irritinus op 14-03-2012 19:43 . Reden: Quotes gefixt ]

[CaptJackSparrow]

De fout van de banken is dat ze het internetbankieren via door anderen gemaakte webbrowsers laten lopen. Dan ben je afhankelijk van de functionaliteit die daar door die anderen ingestopt wordt of juist uitgelaten wordt en kun je eventuele effecten op de veiligheid van veranderingen in die browsers ook niet voor zijn. Je bent dan ook altijd blootgesteld aan de inherente beveiligings zwakke plekken van die browsers.

De banken moeten of elk apart of gezamenlijk een separate applicatie maken/laten maken die best heel veel van een browser weg kan hebben maar die alleen(!) maar gebruikt kan worden om mee te internetbankieren. Het is toch een ontzettend kleine moeite voor de klanten om die te installeren. Wie zou dat te veel werk vinden als het de veiligheid met enige orden van grootte zou doen toenemen?

Zo'n browsertje moet alleen die dingen kunnen die nodig zijn voor het internetbankieren. Als daar geen Flash of Java en weet ik wat voor nodig is dan moet dat ook uit zo'n browser gesloopt worden. De servers van de banken moeten ook simpel kunnen controleren of het verkeer wel van die eigen applicatie afkomt en al het andere verkeer weigeren. Ze kunnen daar bij elk nieuw request op checken. Verder ook zonder DNS servers werken maar direct naar IP adressen die in die applicatie/browser hardgecodeerd ingebakken zitten.

Alles wat niet nodig en potentieel onveilig is weglaten en er extra beveiligingsfuncties en checks instoppen. Het gaat per slot van rekening over geld jongens. Dan zorg je toch dat je degelijk dichtgetimmerde applicaties gebruikt voor het afhandelen van die transacties?

[jan99999]

CaptJackSparrow schreef op woensdag 14 maart 2012 @ 23:58:
De fout van de banken is dat ze het internetbankieren via door anderen gemaakte webbrowsers laten lopen. Dan ben je afhankelijk van de functionaliteit die daar door die anderen ingestopt wordt of juist uitgelaten wordt en kun je eventuele effecten op de veiligheid van veranderingen in die browsers ook niet voor zijn. Je bent dan ook altijd blootgesteld aan de inherente beveiligings zwakke plekken van die browsers.

De banken moeten of elk apart of gezamenlijk een separate applicatie maken/laten maken die best heel veel van een browser weg kan hebben maar die alleen(!) maar gebruikt kan worden om mee te internetbankieren. Het is toch een ontzettend kleine moeite voor de klanten om die te installeren. Wie zou dat te veel werk vinden als het de veiligheid met enige orden van grootte zou doen toenemen?

Zo'n browsertje moet alleen die dingen kunnen die nodig zijn voor het internetbankieren. Als daar geen Flash of Java en weet ik wat voor nodig is dan moet dat ook uit zo'n browser gesloopt worden. De servers van de banken moeten ook simpel kunnen controleren of het verkeer wel van die eigen applicatie afkomt en al het andere verkeer weigeren. Ze kunnen daar bij elk nieuw request op checken. Verder ook zonder DNS servers werken maar direct naar IP adressen die in die applicatie/browser hardgecodeerd ingebakken zitten.

Alles wat niet nodig en potentieel onveilig is weglaten en er extra beveiligingsfuncties en checks instoppen. Het gaat per slot van rekening over geld jongens. Dan zorg je toch dat je degelijk dichtgetimmerde applicaties gebruikt voor het afhandelen van die transacties?

Dit gaat ook niet werken, omdat hackers zich aanpassen aan je software. Dus wordt net zo onveilig als via web browser.
Probleem blijft dat ze je eigen pc veranderen/hacken, en je niet naar je bank sturen maar naar een gehackte website.

To Sinergyx
Hoe ze geld afboeken, is omdat je zelf de code geeft om af te boeken. De hacker zit hier tussen, en de hacker kan ook de boekingen wijzigen. Dus wat jij ziet , dus de hoeveelheid geld die over gemaakt wordt kan veel meer zijn, want de hacker zit op de bank, en niet jij. En wat je ziet is niet altijd wat er echt is.

To derx666
Een pc kan altijd gehackd worden, en met virusscanner of met firewall wil niks dus helemaal niks zeggen.
Windows mac linux zal hier niks van merken. (virusscanner is ook altijd achteraf, dus je geld is ook al weg bij een nieuwe methode).
Enigste manier om iets te merken is om checksum te maken van bijna alle files op je pc, dan kun je later zien of iets gewijzigd is. cheksum niet op je pc laten, anders wijzigd de hacker dit ook.

Lees mijn verhaal eens goed, veiliger kan niet, en mogelijheid om te hacken is bijzonder laag, omdat de pc meestal uitstaat, weinig software geinstalleerd(dit is misschien de grootste probleem), weinig website's bezoekt, etc.
Laat maar horen of iemand een betere methode weet om te internet bankieren, ik wil dit wel weten.

Linux heb ik na een 3 jaar gebruik gescand en niks gevonden, op een dagelijks gebruikte pc. Ben zelf 5 jaar bezig met linux. Heerlijk is het.
Kijk eens op pc forums of je iemand vind met virussen en linux, dit is volgens mij zeer zeer zeldzaam. Zelf heb ik nog niemand gezien.
Je kan met bijv de gratis cd van kaspersky vanaf cd booten, updaten, en dan scannen. In linux zit ook een virusscanner, deze kun je ook gebruiken.
Het verschil van beveliging tav winsdows en linux moet je eens uitzoeken, dan weet je waarom windows zoveel problemen heeft.(zoals als admin werken, en virusscanners die achteraf virussen weghaalt).

En het kan misschien nog veiliger, gebruik bsd.

En hoe goed werken de virussen scanner, firewall en spyware scanners op windows, werken dus niet.

[pickboy]

jan99999 schreef op donderdag 15 maart 2012 @ 05:05:
[...]

To Sinergyx
Hoe ze geld afboeken, is omdat je zelf de code geeft om af te boeken. De hacker zit hier tussen, en de hacker kan ook de boekingen wijzigen. Dus wat jij ziet , dus de hoeveelheid geld die over gemaakt wordt kan veel meer zijn, want de hacker zit op de bank, en niet jij. En wat je ziet is niet altijd wat er echt is.

Ik zit gewoon als particulier bij de ABN, maar als ik een overschrijving bevestig, staat op de cardreader/indetifier vermeld hoeveel betalingen het zijn en wat het totaal bedrag is.
De meeste mensen zullen misschien na het invoeren van de verschillende codes stomweg 2x op ok klikken, maar het controleren van het het bedrag in het scherm zou dit soort dingen juist op moeten vangen dacht ik.

[jan99999]

Denk je dat een hacker dit niet namaakt, misschien niet meteen maar in de toekomst wel.
Tip voor pc gebruik, geloof nooit wat je ziet op het scherm, alles kan gemanipuleerd worden.


Belangrijkste is dat een hacker niet aan je pc kan komen.
En indien je software installeert, spellen installeerd, kinderen aan de pc, heleboel websites bezoekt, illegaal software installeren met de hacker erbij, illegaal windows met de hacker erin(heeft ook niemand).
Dus de pc is gewoon niet dicht te houden.
Enigste wat ik weet is een aparte pc met niks erop.
Wordt tijd dat de bank een goedkope pc aan zijn gebruikers geeft om te internet bankieren, om dan veilig, creditcard, paypal, ideal, en op website's inkopen te doen.

Er zijn al geruchten om 300 euro eigen risico te gaan doen door vereniging van banken.

http://www.security.nl/
Lees hier maar eens vaker, dan zie je dat nooit iets gebeurd. Zelfs als een gedeelte niet klopt dan is het al veel.

[ Voor 14% gewijzigd door jan99999 op 15-03-2012 07:50 ]

[ValHallASW]

pickboy schreef op donderdag 15 maart 2012 @ 06:09:
Ik zit gewoon als particulier bij de ABN, maar als ik een overschrijving bevestig, staat op de cardreader/indetifier vermeld hoeveel betalingen het zijn en wat het totaal bedrag is.

Dat is alleen als je de e.dentifier2 via de USB-aansluiting gebruikt. Het probleem zit 'm (bij de ABN) bij de e.dentifier (1), waar géén verschil te zien is tussen inloggen en geld overboeken. Dat hebben ze bij versie 2 ook zonder USB-kabel opgelost (doordat je in het menu voor 'overboeken' ipv 'inloggen' moet kiezen) - hoewel ik niet weet of je in dat scherm dan ook het bedrag nog te zien krijgt.

[CaptJackSparrow]

jan99999 schreef op donderdag 15 maart 2012 @ 05:05:
[...]

Dit gaat ook niet werken, omdat hackers zich aanpassen aan je software. Dus wordt net zo onveilig als via web browser.
Probleem blijft dat ze je eigen pc veranderen/hacken, en je niet naar je bank sturen maar naar een gehackte website.

Dan zullen ze ook eerst de systemen van de banken moeten hacken en de verificatieprotocollen moeten hacken en kunnen nadoen want zoals ik zei kun je via een bij alleen de bank bekend verificatieprotocol bij alle individuele communicatiestappen checken of de applicatie correct op de data van de bank reageert.

Aangezien de valse site die bankprotocollen niet kent kunnen ze alleen maar foute data naar de gebruiker sturen waar de applicatie dan ook foute data op terug stuurt en alleen die kan de valse site dan naar de bank doorsturen en dan detecteert de bank dat er iets fout zit.

[Irritinus]

CaptJackSparrow schreef op donderdag 15 maart 2012 @ 12:01:
[...]

Dan zullen ze ook eerst de systemen van de banken moeten hacken en de verificatieprotocollen moeten hacken en kunnen nadoen want zoals ik zei kun je via een bij alleen de bank bekend verificatieprotocol bij alle individuele communicatiestappen checken of de applicatie correct op de data van de bank reageert.

Aangezien de valse site die bankprotocollen niet kent kunnen ze alleen maar foute data naar de gebruiker sturen waar de applicatie dan ook foute data op terug stuurt en alleen die kan de valse site dan naar de bank doorsturen en dan detecteert de bank dat er iets fout zit.

Ik vermoed dat bij mijn vader en bij mijn buurman het niet eens echte men in the middle attack is geweest, maar dat er een soort macro geactiveerd werd op het moment van tweede keer invoeren van de inlogcode. Mijn vader vertelde dat hij heel snel pagina's voorbij zag flitsen waarin de transactie werd gedaan en toen was het al gebeurd. Het is dus clientside gebeurd en volgens mijn niet via een proxy of DNS oid. Zo hoeven ze geen protocollen te hacken, maar alleen enkel user input manipuleren en emuleren waarmee ze een betaling klaarzetten en uitvoeren.

En ik vrees dat met de actie van Nu.nl nog wel meer slachtoffers gaan vallen.

[ Voor 3% gewijzigd door Irritinus op 15-03-2012 18:10 ]

[Thralas]

CaptJackSparrow schreef op donderdag 15 maart 2012 @ 12:01:
(Verhaal)

Je idee slaat nog steeds als een tang op een varken. Het probleem ligt niet bij de browsermakers, maar bij de gebruikers en het gros aan lekke browseplugins. Het enige wat je 'custom' bankingapplicatie biedt is dat men de malware zal moeten aanpassen (dat is geen probleem, 'tis immers luceratief genoeg), maar securitywise ga je er niets op vooruit.

Irritinus schreef op woensdag 14 maart 2012 @ 19:37:
Heb helaas geen proxy kunnen vinden en een tracert/ping op de ABNAmro site lopen ook dood.

Dat is simpelweg eoa. browserhook (om ook de source van de bankingpage te kunnen wijzigen), dus een expliciete proxysetting is niet eens nodig.

Verder:

1. Op de pc van de achterbuurman heb ik enkele files gevonden die ik niet vertrouw (waaronder een executable) en die wil ik graag decompilen. Weten jullie goede tooltjes hiervoor (Windows/Linux)?

Als je die vraag moet stellen dan ben ik bang dat je met het antwoord weinig kunt.

3. Aangezien mijn ouders, achterbuurman en vele andere kennissen van mij dit ook allemaal horen zullen ze zich nu wel achter de oren krabben om online te bankieren. Dus ik zat te denken om (aangezien het allemaal Windows pcs zijn) Virtual PC te installeren, [...]

In theorie schiet je hier natuurlijk weinig mee op, als de 'host machine' is geinfecteerd dan heeft de malware ook volledige controle over de virtual machine. In de praktijk is dit een dermate ongewoon scenario dat de malwareauthors er nog niets mee doen, dus stiekem zou het best een aardig lapmiddel kunnen zijn.

[BlackLight]

Wat ik zelf wil gaan gebruiken, is webconverger. Je download een kleine linux iso, en met unetbootin kan je zo'n iso zo op een usb stickje zetten. Da's handiger dan booten vanaf cd-rw (vind ik zelf).

Enige voorwaarde is, dat je laptop/pc moet kunnen booten vanaf usb.

Webconverger is een linux distro die geen schijven mount van je laptop/pc, en waar alleen een browser op draait.

Alternatief is LPS, of een live linux distro. Nadeel van die live linuxen vind ik dat je er teveel mee kunt en dat levert weer beveiligingsrisicos met zich mee.