E-Mail von PayPal mit einer nicht autorisierte Zahlung über 247,42 EUR an Avangate B.V. erhalten? (Paypal-Phishing mit überraschender Technik!)

Sie gehören auch zu den Internetuser, die in den letzten Tagen eine E-Mail von “PayPal” mit dem Betreff: “PayPal – Nicht autorisierte Zahlung über 247,42 EUR an Avangate B.V.” erhalten haben?

Billige Phishingfallen kennen wir alle: schlechter Schreibstil, billige Seiten, schwache Formulare. Was wir hier aber zugesendet bekommen haben, kommt erstaunlich real über.

Es handelt sich dabei um eine Mail, welche angeblich von Paypal stammen soll. Diese Mail gibt vor, vom Paypalkont gäbe es unautorisierte Zahlungen. Schauen wir genauer hin:

Was direkt auffällt: der Aufbau spiegelt 1:1 den Aufbau einer echten Mail von Paypal wider, es gibt sogar eine korrekte Anrede! Bitte merken: in der Mail taucht der echte Name als Vor- und Nachname des Empfängers auf.

Die ganze Mail sieht so aus:

Im Klartext:

Guten Tag, [Realname]!

Nicht autorisierte Zahlung über 247,42 EUR an Avangate B.V. (support@avangate.com) ist uns aufgefallen!
Eine Prüfung der unten stehenden Transaktion hat ergeben, dass sie möglicherweise nicht durch Sie autorisiert wurde. Daher wurde diese Transaktion zurückgerufen.
Alle Details zu dieser Zahlung finden Sie in Ihrer PayPal-Kontoübersicht.

Es kann einige Minuten dauern, bis die Transaktion in Ihrem Konto angezeigt wird.

Wer nun einen dieser Links anklickt, die in der Mail dargestellt werden, landet auf einer Seite, die in Technik und Auftreten der Paypalseite zum Verwechseln ähnlich ist.

Konfliktlösung und vorausgefüllte Formulare

Der recht komplex aufgebaute Ablauf führt den Besucher nun durch ein Prozedere, welches vom Aufbau her plausibel scheint und in diversen Feldern auch bereits mit dem Namen vorausgefüllt ist.

Speziell die Felder, in denen bereits der Realname eingetragen ist, lassen das Phishinmgformular authentisch wirken und bilden somit eine große Gefahr für den Besucher.

Wenn man nun noch die freien Felder ausfüllt, durchläuft man typische Phishingformulare. Es werden Adress-, Geburts-, Zugangs- und Kreditkartendaten abgefragt.

Und abermals tauchen immer wieder Felder auf, welche schon ausgefüllt sind und in denen der Realname des Besuchers steht.

So kommen die Namen in die Felder

Den Namen bekommen die Formulare aus der Mail, denn in dieser Mail ist, unter den Links, die dort geklickt werden, eine Zeichenkette unterlegt, welche als Information für den Input in diverse Felder genutzt wird. So ein Link  in die Mail einzufügen, ist recht einfach, da die Mail selbst in der Kombination E-Mail Adresse + Vorname + Nachname automatisch erstellt wurde, und so auch diese Zeicheninformation erstellt wurde.

Nimmt man nun diese Zeichenkette aus dem Quelltext und manipuliert sie ein wenig, sieht das Ergebnis so aus:

Aus den ursprünglichen Zeichen der Phishingmail haben wir an entsprechenden Stellen die Zeichen “zddk1234” und “mimika” eingefügt. Das Ergebnis in den Phishingformularen ist nun Folgendes:

Die Verwendung von Namen in Mails und Formularen ist daher kein Indiz mehr für deren Echtheit, ganz im Gegenteil: die Verwendung von Namen in Mails und Formularen baut eine Scheinsicherheit auf.

Daher ist es unheimlich wichtig, niemals Links innerhalb einer Mail zu klicken, welche auf Formulare führen, sondern lieber per Handeingabe die Webseite des entsprechenden Anbieters zu öffnen und sich dort einzuloggen und zu schauen, ob Probleme vorliegen. Sollte dies der Fall sein, wir man garantiert deutlich beim Log-in darauf aufmerksam gemacht. Wenn nicht, dann ist die Mail garantiert Phishing.

Autor: Andre, mimikama.org