Malware-sms på rigtig dansk blander sig med legitime Post Danmark-beskeder
Post Danmark advarer på virksomhedens hjemmeside mod en fup-sms, der er i omløb, og som ser ud til at komme fra PostNord eller Post Danmark. Det gør den dog ikke.
Engang lød det generelle råd fra flere danske myndigheder, at phishing var noget, borgerne kunne opdage, fordi beskederne, der forsøger at narre informationer fra folk under dække af at være fra legitime afsendere, var skrevet på dårligt eller maskinoversat dansk.
Dette råd viser sig - ikke helt uventet - ikke at være eviggyldigt. I hvert fald er sproget ikke smækfyldt med fejl i den sms, der lige nu florerer på danske telefoner og ser ud til at komme fra Post Danmark.
»Din pakke fra PostNord er tilgængelig til afhentning. Følg linket for at se alle oplysninger om din forsendelse,« står der.
Og så er der et link, der på det billede, Post Danmark har lagt op, ser ud til at gå direkte til en installationsfil til Android-styresystemet under et domæne, der er lavet, så det ligner det officielle Post Danmark-domæne. Det er imidlertid ikke det officielle domæne, og det er en ualmindelig dårlig idé at hente og installere filen.
Ifølge partner i det danske sikkerhedsforetagende CSIS Jan Kaastrup er der tale om kriminelle, der forsøger at snige det trælse stykke malware, MazarBot, ind på danskernes mobiltelefoner.
CSIS har i relation til en anden sms-kampagne i et blogindlæg fortalt, at softwaren henter en Tor-applikation ned på telefonen. Herefter er den blandt andet i stand til at sende sms'er til overtakserede numre, opsamle sms'er i relation til at omgå 2-faktor-autentifikation og en masse andet skidt.
»Med de muligheder, der åbnes her, er der stor risiko for mange former for misbrug,« har CSIS tidligere skrevet i relation til MazarBot.
Jan Kaastrup fortæller, at phishing via sms kaldes smishing.
»Smishing er helt klart blevet et stigende problem,« siger han.
Samme tråd
En af grundene til, at denne form for angreb åbenbart er populær blandt kriminelle, kunne være, at mens flere borgere er blevet opmærksomme på, at ikke alle mails skal tages for gode varer, så er tilliden måske større til sms’er. Og her er det tilmed muligt at camouflere de lyssky beskeder på en anden måde end med mails.
I tilfældet med Post Danmark så har bagmændene sat afsendernavnet på sms'en, så det er sammenfaldende med det navn, Post Danmark normalt anvender, når virksomhedens sender sms'er om, at 'nu kan pakken afhentes' etc. Og det bevirker, at sms'en - alt afhængig af app og telefon - bliver lagt ind i samme beskedtråd som de foregående, legitime Post Danmark-sms'er. Og dermed optræder bandit-beskeden altså i en kontekst, hvor brugeren er vant til, at der foregår legitim kommunikation.
»Sms'en lægger sig ind i modtagerens eksisterende sms-tråd fra Post Danmark og er dermed endnu sværere at afsløre, men der er altså tale om en fup-sms, og den er ikke afsendt af PostNord eller Post Danmark,« bemærker Post Danmark i en meddelelse på sin egen hjemmeside om emnet.
Ikke første gang
En anden virksomhed, der også døjer med smishing, og som også anvender sms-kommunikation med kunderne, er Nets. Og også her er det hændt, at svindel-sms'er lægger sig sammen med de legitime sms'er på folks telefoner. (Se billede til højre.)
Kommunikationskonsulent Ulrik Marschall medgiver, at det kan være vanskeligt at skelne mellem, hvad der er god- og ondartet kommunikation. Han opfordrer i den forbindelse til at se på konteksten for, når en sms bliver modtaget. Altså giver det mening at modtage beskeden i forhold til andre handlinger eller ej.
»Den verden, vi befinder os i nu, stiller større krav til alle - både udbydere og også brugere,« siger han.
Åbent datafelt
Når det overhovedet kan lade sig gøre for tilfældige tredjeparter at skrive 'Nets', 'Post Danmark', 'Taxa' eller andre navne ind som afsender i sådanne beskeder, så skyldes det ifølge direktør i konsulentvirksomheden Netplan, Torben Rune, at der er tale om et datafelt, som enhver i princippet kan udfylde.
»Man kan normalt ikke sende sådan nogle beskeder fra en almindelig mobiltelefon, men der findes et hav af netværkstjenester på internettet, som kan gøre det.«
Oprindeligt var det meningen, fortæller Torben Rune, at operatører kunne udfylde feltet på vegne af abonnenter, men i dag kan enhver i princippet udfylde feltet, som mobiltelefoner bruger til at gruppere beskeder efter.
»Mange år efter står vi så med nogle systemer, hvor man har åbnet for, at tredjepart - uden telefoner - kan udfylde de felter. Og det er derfra, balladen kommer.«
Kom gratis med til Danmarks største IT-sikkerhedsevent!
Infosecurity, Europas mest populære IT-sikkerhedsevent, afholdes for første gang i Danmark den 3. og 4. maj 2016. 50 udstillere, 5 konferencesale og mere end 60 seminarer og caseoplæg fra ind- og udland. Læs mere her.
