Názory k článku
Roste počet phishingových útoků na doméně .CZ, vedou příspěvky na bydlení

Jakým způsobem sleduje CISRT.CZ nově registrované domény? Mají přístup k zónovému souboru?

Tak vzhledem k tomu, ze CSIRT.CZ je provozovan CZ.NIC tak bych rekl ze ten pristup maji.

Pravda. :-) A navíc jsem to ze zprávičky blbě okopíroval - jedná se o CSIRT.CZ a ne CISRT.CZ

Pokud chce někdo provozovat phishingový web, potřebuje k němu důvěryhodný certifikát. Aby byl certifikát důvěryhodný, musí být na veřejném Certificate Transparency listu. Z něj se o tom, že někdo chystá web s danou doménou, dozví všichni, včetně CSIRT.CZ. Stejně pak předpokládám musí s blokováním počkat, až se tam ten web objeví, protože jen na základě podezřelého názvu doménu asi blokovat nepůjde.

Navíc ty phishingové weby se objevují i v jiných TLD, než .cz, takže přístup k zónovému souboru by stejně nestačil, i kdyby ho CSIRT.Z měl.

Ale kulovy, k tomu abych provozoval phishingovy web nepotrebuji duveryhodny certifikat, dokonce nepotrebuji k tomu zadny certifikat. Mam nekolik zakazniku kteri maji obchodni partnery co na svych webech vubec tls nepouzivaji a z jejich pohledu to nicemu nevadi.

To je klidně možné, že vy byste pro provoz phishingového webu důvěryhodné certifikáty nepotřeboval. Tady se ale bavíme o phishingových kampaních, které nedělají úplní neumětelové, takže jejich weby důvěryhodné certifikáty mají.

To je omyl. Dnes jsem se dival na novinkympasv.cz (nahlasena a jiz bloknuta) a mela klasicky LetsEncrypt.

To asi měla být odpověď Ratbatcatovi, ne mně.

Když ony občas ty organizace (banky...) tomu jsou naproti a "nezablokují" si doménu, která přímo vybízí k tomu, aby ji nějakej rhybář použil (buď klasický typo-squating s přelkepem, nebo opticky podobná varianta). A když je člověk upozorní, dostane zdvořilou odpověď, že to předají odborníkům...
Schválně zkuste: "rnoneta.cz", "rnbank.cz", "rnojebanka.cz" - ta kombinace "r"+"n" prostě ve spoustě fontů vypadá jako "m".
Komerčka má plus alespoň za "ojebanka.cz" - to člověka přesměruje na jejich "login", žel, bez upozornění, takže úplně stejně, jako by to dělal podvodník....

ojebanka.cz je tedy dost originální a skoro by to i mohl být oficiální název :-).

;o)
Proto to taky (už před lety!) zablokovali. Tenkrát jim asi těch upozornění dorazilo více, ale hlavně tam byli lidé, kteří si to nebezpečí uvědomovali.
Dneska nad tím mávnou rukou... - a já nemám čas vyrábět phishingové stránky pro každou banku, která si tu doménu nepojistí.

Zrovna u těch kombinací „rn“ je nepravděpodobné, že by to někdo napsal, spíš by to byl cílený útok. A na to stačí monitorovat vznik webů na takových adresách (z CT listu) a nechat to zablokovat. V případě chybějícího prvního písmena nebo častěji třeba pomlčka/bez-pomlčky se nejspíš stává, že to někdo omylem napíše – pak je to služba pro zákazníka, že je rovnou přesměrován na správný web.

Jenže mně jde právě o ty cílené útoky.
Mám plný spambox zpráv od různých bank: tento týden mi zablokovali účty v Monetě, Raiffeisen bank, Spořitelně, ČSOB, Poštovní spořitelně (!), AirBank, Fio - a to jsem u nich nikdy žádnej účet neměl!
Jednou se třeba trefí, a až mi přijde informace od "rnbank.cz", že je potřeba se okamžitě přihlásit a zablokovat si kartu, protože s ní někdo nakupuje v Číně ajfouny na kila, honem na to kliknu - nebo zavolám na uvedené telefonní číslo, kde mi to milá operátorka potvrdí a ještě mne navede, jak si můžu udělat sám.
Jasně - těm bankám to může být jedno, odnesou to jen jejich klienti - a to ještě jenom ti, kteří si nepojistili internetová rizika, pořádně si nepřečetli všechny podmínky a bezpečnostní upozornění, a navíc blbě vidí. Ale myslím, že za ty peníze, které na svých klientech vydělají, by takovou doménu vyblokovat mohli. Zlounům by to alespoň trošku zkomplikovalo práci.

A jak by jste si takove blokovani predstavoval? Ze si banka zaregistruje 3400 domen ktere muzou vzniknout nejakou kombinaci jejiho jmena? A co kdyz utocnik prida interenetbanking-mbank.cz? A dalsich 100000 moznych kombinaci? A co kdyz misto .cz pouzijou .eu? Tohle zadna firma nema sanci efektivne resit, jedine mozne reseni je nechat lidem plnou odpovednost a jejich edukace o konkretni domene.

Jednak banky učí své klienty, že nemají klikat v e-mailu na odkaz na bankovní web a že pokud je v e-mailu odkaz na banku, je ten e-mail falešný.

Za druhé, nedává smysl předem si zaregistrovat všechny možné domény, protože i kdybyste jich vymyslel tisíce, podvodníci vymyslí další. Jediný reálný postup je sledovat, jak ty weby vznikají (což naštěstí jde díky CT listu), a pak je hned blokovat.

Těch kombinací je hodně, ale hlavně proto, že ty banky samy používají spousty domén - takže pak nevíte, co je pravé a co podvodné (Komerčka se se svým mojebanka.cz je přímo ukázková.)
Kdyby důsledně používaly adresy ve stylu mbank.cz, stačí registrovat v podstatě jen nejběžnější záměny a chytáky typu rnbank.cz, www-mbank.cz a třeba login-mbank.cz (používají-li login.mbank.cz). Na takové domény bych pak umístil statickou webovku s upozorněním, že adresa není úplně správná a po chvíli přesměrováním na hlavní stránku. Takových variant už je podstatně méně a věřím, že udržovat by se to dalo.
Ono sledovat seznamy a reagovat až na situaci, kdy si tu doménu někdo zkusí registrovat, může být pozdě.
Teď je pátek večer. Když budu mít připravenou podvodnou prezentaci, registruji si doménu, za hodinu mám funkční past, v sedm ráno rozešlu návnadu (banky obvykle posílají maily touhle dobou, to není podezřelé...) - a než to v pondělí někdo začne řešit, může být pár kont vybílených.
První, kdo se o tom dozví, bude jejich call centrum, od naštvaných klientů. Upozornění o registraci domény si zřejmě někdo přečte nejdřív v pondělí...
Banky sice klienty vychovávají, posílají e-maily, varují na stránkách, rozesílají edukační SMS, ale, slovy klasika: Je to marný, je to marný... - je to marný!

Mimochodem: www-csas.cz přesměruje (bez upozornění) na stránky Spořitelny, www-mbank.cz odkazuje na mbank.ehub.cz s certifikátem od Let'sEncrypt a jakousi prezentací osobního konta (což "vypadá podezřele"). Další namátkově zkoušené jsou volné...