Organisaties waarschuwen voor phishingcampagne via gemailde pdf-bestanden

Cybercriminelen proberen de inloggegevens voor Proton- en Google-accounts te stelen via een spearphishingaanval met zogenaamd versleutelde of beveiligde pdf-bestanden. Daarvoor waarschuwen Citizen Lab en Access Now.

Criminelen doen zich bij de aanval voor als een bekende van het slachtoffer, zeggen Citizen Lab en Access Now op basis van eigen onderzoek. De gebruikte e-mailadressen verschillen vaak maar op één karakter van het echte adres. Het slachtoffer ontvangt een e-mail van deze zogenaamde bekende met een pdf-bestand dat beschermd zou zijn met bijvoorbeeld ProtonDrive. Om het bestand te kunnen zien, moet het slachtoffer eerst inloggen. Het bestand biedt daarvoor een link die naar een phishingpagina verwijst.

Citizen Lab en Access Now stellen dat de aanvallen worden uitgevoerd door twee verschillende groepen: Coldriver en Coldwastrel. Coldriver is volgens de organisaties gelieerd aan de Russische geheime dienst FSB. De twee groepen richten zich onder meer op investeerders, ambtenaren, Russische oppositie, de media en organisaties voor de geestelijke gezondheidszorg.

De onderzoekers adviseren om alert te zijn op versleutelde en beveiligde pdf-bestanden. Daarnaast raden ze aan om tweestapsverificatie te gebruiken, maar dan via bijvoorbeeld beveiligingssleutels. Er zijn namelijk al slachtoffers geweest die 2FA wel hadden ingeschakeld, maar werden verleid om de codes in te voeren.

Reacties (13)

[HansRemmerswaal]

Misschien tijd dat mail diensten een waarschuwing laten zien als er een mail is met een email adres die lijkt op die van een bekende? Dus stel je hebt de laatste jaren via email contact gehad met [e-mail] en je krijgt nu opeens een mail van [e-mail] dat je een duidelijke melding krijgt dat dit een onbekend contact is en mogelijk spam of phishing.

[F_J_K]

Binnen MS365 heb je dergelijke impersonation protection-functionaliteit: als mijn collega [e-mail] is en ik krijg mail van Jan.Jansen@gmail waar ik nooit mee heb gemaild, krijg ik een melding dat het mogelijk phishing is.

Nadeel: false positives. Is alleen te gebruiken voor 'VIPs'.

Edit @Phuncz wat je als betere aanduiding typt, is precies hoe dat al werkt ja.

[Reactie gewijzigd door F_J_K op 15 augustus 2024 08:56]

[Phuncz]

Dit gaat alleen werken als het probleem daadwerkelijk aangeduid wordt en correct toegelicht wordt. Zolang men verwacht dat de gemiddelde persoon zelf op onderzoek gaat wat het probleem is, zal er enkel door mensen met een bovengemiddelde achterdochtigheid dit opvolgen.

Het zou beter zijn als de mail apps het zouden aanduiden:

Onbekende afzender "[e-mail]" lijkt sterk op een bekende afzender "[e-mail]", bent u zeker dat dit dezelfde persoon is ?

[SinergyX]

Dan gooi je er een stukje tekst in 'tijdelijk ander emailadres, ben mn wachtwoord kwijt' of 'in opdracht van <insert bekende>' en je hebt de eerste lading al te pakken.

Wij krijgen de melden bij zo'n beetje iedereen die je bv een maand niet gemailed heb, maar als jij van iemand maar slechts 2-3 per jaar wat berichten krijgt (maar wel goed kent), mensen leunen er per saldo meteen op en laten hun eigen controle varen, 'want systeem doet de check wel'.

En vergeet niet dat ze ook prima de phising vanuit de persoon kunnen sturen, de laatste aanvallen die wij hebben gehad waren allemaal 'compromised' accounts van klanten, gewoon legitieme mailadressen.

[CivLord]

Ook @Phuncz

Wanneer je veel met familieleden emailt en dus om de haverklap melding krijgt dat a.j.jansen@gmail erg lijkt op j.a.jansen@gmail en aj.jansen@gmail, iedere keer dat er een nieuw familielid digitaal gaat, of na het verlies van de inloggegevens een nieuw account heeft aangemaakt, dan klik je die waarschuwing op een gegeven moment automatisch dicht, ook wanneer het op een gegeven moment gaat om "CEO Bedrijf" <[e-mail]>, terwijl je normaal gesproken mailt met "CEO Bedrijf" <[e-mail]>.

[Room42]

Dan heb je in ieder geval alle mensen gewaarschuwd die deze situatie niet hebben.

[kodak]

Een goed spamfilter doet dat. Het probleem is alleen dat veel mail diensten liever spamfilters toepassen waar de gebruikers nauwelijks inzicht hebben in waar het op gaat filteren en de gebruiker nauwelijks inspraak heeft in de werking. Met als gevolg dat die spamfilters niet zomaar goed filteren en waarschuwen.

Het is niet voor niets dat gebruikers een eigen mailclient kunnen hebben. Dan heb je namelijk ook zelf nog enige controle over filtering. Want er op vertrouwen dat de mail diensten wel weten wat betrouwbaar voor je is was 30 jaar geleden al achterhaald.

[Ozzie]

Google Workspaces doet dat wel merkte ik laatst. Kreeg een mail van [e-mail] ipv [e-mail] en toen kwam er netjes een melding in beeld dat dit mogelijk niet de afzender was die ik verwachtte maar iemand van buiten het bedrijf.

[oef!]

Eerlijk gezegd heb ik liever niet dat protonmail een log bijhoudt van wie me gemailed heeft.

[kimborntobewild]

Tijd voor levenslange celstraffen voor zulke criminelen.

[FairPCsPlease]

Ik vraag mij af waarom die criminelen-/spionnenorganisaties Coldriver en Coldwastrel of wat het dan ook zijn, het specifiek gemunt hebben op 'organisaties voor de geestelijke gezondheidszorg'?

[xenn99]

Wellicht een mooie lijst om van te rekruteren?
Mensen met psychologische problemen zijn vaak makkelijker te beïnvloeden en mogelijk te sturen om in Europa chaos te veroorzaken.

[FairPCsPlease]

Klinkt aannemelijk, maar dat zou echt walgelijk zijn, als ze daarom juist op systemen in willen breken om psychisch kwetsbare mensen te exploiteren op zo'n manier!