Totul începe printr-un email venit de la platforma Meta, un email cât se poate de real prin care cineva solicită acces la contul tău de business. Partea cea mai interesantă este că numele contului atacatorului precum și numele tău sunt completate în așa fel încât să denatureze cuprinsul mailului și să pară că, de fapt, nu dai un acces imediat ci că doar faci un review de date.

Aspecte interesante:

a) numele afacerii este „Agency Partner Program is Meta’s partner network, any other Program” ceea ce compune începutul disclaimerului „Agency Partner Program is Meta’s partner network, any other Program is not part of or affiliated with Meta. Only approve requests and invitations from people and businesses you know and trust. Meta will never ask for passwords, payment information or personal details in an email.”.

Meta a adăugat recent acest disclaimer pentru a informa utilziatorii că niciun business din Meta nu este direct afiliat cu entitatea lor. Totuși, acest atac sofisticat  se folosește de o problemă de validare a denumirilor afacerilor create în platforma Meta pentru a transforma mesajul într-unul din care ar trebui să se subînțeleagă că este vorba de un program partener oficial al Meta. Există mai multe variații de denumiri, cum ar fi „Meta Partner Support m.me/partnerplatformprogramagency you”, „Get Started sites.google.com/view/verifypagemeta – Your information”,

Din păcate, deși Meta are propul sistem LLM destul de capabil, nu au implementat niciun sistem de filtrare a denumirilor, nu au măsuri adevărate de securitate. Probabil, de aceea nici nu sunt prezenți la marile evenimente de securitate cibernetică din industrie.

Campaniile de phishing se pot baza de cele mai multe ori pe grabă sau pe analfabetism funcțional ori pe neînțelegerea limbii engleze.

Alți utilziatori au raportat situații în care numele afacerii era „ Your accounts will be locked after 24 hours..” creând impreisa că Facebook le va închide contul. Astfel de mesaje pot apărea și pe inboxul paginii în paralel, nu doar pe email.

b) numele celui care a trimis cererea a fost trecut ca „MetaForBusiness: please complete the process at the link above.”

Scopul acestui nume este de a adăuga un extra input ce poate denatura înțelesul inițial al emailului.

Facebook Meta ar fi trebuit să nu permită nume atât de lungi sau din atâtea cuvinte. O astfel de problemă de validare este atât de simplă, chiar banală. Ne face să ne întrebăm, oare câte alte probelme mai există într-un sistem gigantic de nivelul unei planete?

c) emailul primit este oficial, vine de la Meta

De cele mai multe ori, în cursurile de securitate cibernetică și de anti-phishing, suntem învățați să ne uităm la trimițător. Ce facem dacă trimițătorul unui email este veridic?

Emailurile oficiale ale Meta aparțin de domeniile

• @fb.com
• @meta.com
• @mail.instagram.com
• @account.meta.com
• @global.metamail.com

Există situații de campanii de phishing în care senderul schimbă o singură literă în domeniul web (instragran.com)

d) Campanii către siteuri clonă

Am primit și emailuri de la alți senderi care nu au folosit platforma meta ci niște clone bine făcute. Acestea folosesc, de regulă. subiecte precum:

• Meta Agency Partner Program
• Meta Professional Partner Program
• Meta Media Agency
• Business Manager Partner Request
• Meta Business Suite Invitation

Ce poți face dacă ai primit un email suspicios?

1. Nu apăsa pe niciun link până nu verifici cu atenție fiecare informație. Mai ales dacă nu te așteptai să primești vre-o cerere.
2. Șterge emailul și marchează-l ca spam.
3. Trimite emailul suspect la Meta. Acestea pot fi trimise la phish@fb.com
4. Autentifică-te în Business Manager din browser, separat, fără a da click pe link
5. Verifică periodic dacă sunt utilizatori neautorizați, aplicații sau tokenuri de acces,

Poți solicita suport la contact [ @ ] comanpaul.ro. Voi răspunde prompt cu o ofertă.

e) Dacă folosești Gmail, acesta te poate induce în eroare și mai tare pentru că apare o bifă albastră ce dă impresia că totul este legitim pentru că domeniul senderului a fost validat și verificat ca fiind real.

Datele privind adresa de email pot fi colectate din diverse breșe de securitate, liste de firme, baze de date nelegale sau prins canarea paginilor de Facebook de către roboți (mai ales dacă ai completat adresa de email a afacerii în profilul public al paginii). Adevărul este că nu am primit niciodată un email din pagina de Facebook. În 100% din cazuri, am primit mesaj pe chat dacă a fost nevoie să luăm legătura.Don’t be too corporate. Să facem viața hackerilor începători mai grea

f) Followup

În cazul meu, actorul rău-intenționat a trimis aceeși cerere pe mai multe adrese de email. Este foarte interesant că am primit pe mai multe adrese în aceeași zi, mai ales că foarte rar public toate adresele mele de email. La câteva ore după prima cerere, a mai venit o cerere cu numele de business „Your Business Is Approved for Partnership m.me/454914198343671 Other links”. Acest mesaj face să pară că nu mai e ceva urgent, că ceva bun s-a întîmplat, am primit un update, dar tot trebuie să „îmi verific informațiile”.

Ca să te protejezi de fraude

• Verifică mereu identitatea solicitantului contactând compania și folosind informațiile oficiale de contact – nu pe cele din email
• Nu partajați niciodată numele de utilizator, parola sau informațiile de plată. Meta nu le solicită niciodată!
• Fiți atenți la mesajele care folosesc un limbaj urgent sau amenințător. De exemplu, solicitări care spun că Pagina dvs. este în pericol. Aceasta este prima regulă în protecția anti-phishing

Dacă permiți cuiva accesul la Meta Business Suite, poți ajunge să:

• dai mai multe informații despre ce există în contul tău
• da acces la pagini sau pixeli
• poți da fără să vrei permisiuni la nivel de business, la un cont de ads – cineva ar putea rula campanii malițioase în numele tău
• ai putea da fără să vrei acces la o linie de credit

Am văzut cazuri în care cei ce obțineau acces la conturi, plăteau ei campaniile pentru a nu da de bănuit. Prin acele campanii, încercau să promoveze afaceri de la firme fantomă, propagandă, fake news sau produse naturiste false.

Accesul la pagina ta poate însemna inclusiv că atacatorul ar putea să răspundă la mesajele primite pe pagină, să ceară informații pentru a păcăli și alte persoane și chiar să îți deturnezew clienții.

Din păcate, consecințele pentru victime sunt, de multe ori, închiderea paginilor și a conturilor, în timp ce atacatorii pierd doar un instrument pe care îl refac a doua zi. Securitatea cu adevărat implementată nu există încă la Meta.

Am produs o eroare pe serverul hackerilor, rezultând în acest mesaj

PayloadTooLargeError: request entity too large
    at readStream (/www/wwwroot/cyber/node_modules/raw-body/index.js:163:17)
    at getRawBody (/www/wwwroot/cyber/node_modules/raw-body/index.js:116:12)
    at read (/www/wwwroot/cyber/node_modules/body-parser/lib/read.js:79:3)
    at jsonParser (/www/wwwroot/cyber/node_modules/body-parser/lib/types/json.js:138:5)
    at Layer.handle [as handle_request] (/www/wwwroot/cyber/node_modules/express/lib/router/layer.js:95:5)
    at trim_prefix (/www/wwwroot/cyber/node_modules/express/lib/router/index.js:328:13)
    at /www/wwwroot/cyber/node_modules/express/lib/router/index.js:286:9
    at router.process_params (/www/wwwroot/cyber/node_modules/express/lib/router/index.js:346:12)
    at next (/www/wwwroot/cyber/node_modules/express/lib/router/index.js:280:10)
    at /www/wwwroot/cyber/server.js:27:3

Ce putem înțelege de aici este că respectivul server conține mai multe scripturi care clonează siteuri și colectează date.

Acesta este siteul clonă.

La o analiză a siteului clonă putem observa rapid că:

• orice am completa în formular, rezultă cu o eroare
• meniul și alte elemente clickabile nu funcționează
• nu are icon în fereastra din browser

Inclusiv emailul primit este cu erori de conținut. Menționez că primele emailuri au fost ami corecte.

Ca și tehnică, tacatorii au folosit inteligența artificială pentru a genera scriptul de colectare date, inclusiv pentru design. Ce observăm interesant este că au creat un script care diferențiază roboții de oameni. Se pare că inclusiv spammerii se protjează de…spameri

Cam așa arată și scriptul care colectează credențiale.

Alte informații interesante:

• este posibil ca atacatorii să fie din Ungaria
• înainte de siteul clonă, acolo a fost un wordpress

Reducerea dezinformării online este una dintre activitățile din care nu urmăresc un anumit fel de beneficiu personal ci doar să mă simt util societății, să pot da înapoi lucruri pe care le pot da. Așa cum tata, Nicolae Coman, scrie fără beneficii pe Wikipedia Română și în alte limbi, fiind în top 10 național, eu mă voi implica în sferele de securitate cibernetică, protecție, luptă împotriva dezinformării – cu toate că acest lucru poate atrage „dușmani cibernetici”.

(PS: Tata, este și în 2026 pe locul 8 după numărul de editări – a se observa că restul nu au nume public)

Voi reveni cu completări zilnice ale acestui articol. Pentru propuneri de colaborare, investigații OSINT (open source intelligence) și documentări despre amennințări cibernetice, vei ști cum să mă contactezi.

Informarea dezinformată – o formă mai inocentă

M-am tot gândit ce termen să dau acestui fenomen. Am descoperit un fenomen care a crescut semnificativ din cauza inteligenței artificiale – mai exact, oamenii se încred prea mult în rezultatele generate fără a mai verifica realitatea. Am documentat un exemplu de caz în acest articol unde un admin de bună credință al unui grup de facebook a încercat să informeze comunitatea însă a comunicat un conținut inexistent, deformat. În articol am exemplificat și pașii prin care am verificat corectitudinea informațiilor și care este adevărul nunanțat corect. Articolul era parțial corect, dar nunața profund dezinformativă, chiar cu efectul inducerii de panică pe piața muncii IT creând senzația că alte echipe întregi de ITsti sunt demise din cauza utilizării inteligenței artificiale.

Surse:

1. Wikipedia

De-a lungul timpului, am observat că diverse pagini de social media sau siteuri emit diverse campanii propagandiste cu următoarele scopuri:

1. afectarea încrederii populației în toate instituțiile publice de orice fel
2. crearea unui sentiment de panică, urgență sau stârnirea de emoții puternice
3. încurajarea redistribuirii prin emoții
4. creșterea număruluin de like-uri și followers
5. monetizarea conținutului vizionat de oameni

În copilărie, bunica mă tot avertiza să am grijă la pericolele internetului pe care ea nu îl înțelegea cu adevărat. Nu știa ce se întîmplă în cutia aia numită calculator, de unde vine internetul ăsta, iar ce se spunea la televizor era încă sfânt. Astăzi, atât bunica (80 ani), cât și sora ei sunt victime ale propagandei și ale tuturor înșelătoriilor de pe internet. De la electrocasnice cumpărate de la firme fantomă, donații prin poștă către asociații dubioase până la distribuiri de postări care par inofensive, dar în realitate nu sunt. Emoțiile pe care le promovoacă aceste postări și orgoliul lor de a nu arăta că au greșit le creează o rezistență incredibilă la a primi și alte păreri referitor la ce distribuie.Până la urmă, ce rău poate să facă dacă îți trimit o poză cu o pisică? Sau dacă te previn cu privire la un pericol pentru că m-am gândit la tine? Cam aici se limitează totul.

Astăzi, una dintre ele mi-a distribuit pe whapstapp un aparent comunicat venit din partea IGPR (Inspectoratul General al Poliției Române). Inițial, l-am citit cu interes, apoi au început să apară multe semne de întrebare. Inclusiv acum îmi este teamă puțin să nu fie un comunicat real, dar am o certitudine de 90% că nu este. În cele ce urmează, vom face o „analiză pe text”.

Acesta este mesajul pe care l-am primit pe whatsapp.

După cum se poate observa, whatsapp adaugă avertizarea de „Redirecționat frecvent” sau „Forwarded many times” dacă whatsapp este în engleză. Apare și o opțiune să putem căuta imaginea pe net ca să vedem ce reprezintă.

Am căutat imaginea pe Google folosind acel buton și am ajuns la o postare de pe facebook a unui cont denumit Adrian Prisecariu. Nu îmi pot da seama dacă este un cont fals sau nu deși majoritatea postărilor par lucruri virale sau generaliste.

Contul are 153 mii de urmăritori, la bio are mesajul „O familie fericită nu este altceva decât un rai timpuriu.” și își pune în prim plan copiii. Totuși, mă gândesc că nimeni nu și-ar face o pagină atât de publică și să îți pună poza cu copiii de până în 10 ani la profil și la cover. Este o expunere mult prea mare pentru ei. Din start, ceva nu se leagă. Mai mult de atât, are cont cu bifă albastră, deci, plătește abonament. Costurile sunt între 15 dolari și 500 dolari pe lună pentu acea bifă!

De menționat este că aceasta este o pagină de afacere, nu un profil de persoană. Încă un lucru care ar trebui să ne dea de gândit. Nu voi emite nici o judecată referitor la această pagină pentru că este posibil chiar să fie o persoană care să âncerce să strângă bani din conținut viral pentru o anumită cauză personală. Problema rămâne, ce este cu comunicatul IGPR? Intru în detalii imediat.

Acesta este presupusul comunicat.

Cu siguranta, acesta nu este un comunicat oficial. Politia nu se exprima astfel, mai ales în condițiile în care IGPR este o instituție mare, cu purtător de cuvând, cu oameni care verifică ce iese pe poarta instituției.

Câteva elemente care ar trebui să dea de gândit:

• sigla de slabă calitate
• antetul supradimensionat
• nu are aspect nici de document, ncii de comunicat
• fundalul este unul creat pe calculator deși seamănă cu hârtia mototolită. Se observă că textul nu este mototolit o dată cu fundalul
• Niciodată o instituție publică de orice fel nu va începe un document cu expresii de tipul „redirec’ionat frecvent”
• Textele sunt neprofesioniste
• Stimați proprietari este of formulă de adresare ciudată. Pare că nu ia în considerare toți oamenii sau că este o traducere nereușită
• propozițiile nu au predicat (unele)
• „Trimite-l tuturor grupilor” – clar este o eroare de traducere din altă limbă. De asemenea, poliția nu va comunica niciodată o astfel de exprimare
• Niciodată poliția nu se va exprima cu „sa stiți că”… „guvernului” cu g mic. Nici măcar un copil nu ar scrie un astfel de text neprofesionist.
• Un comunicat real ar avea: număr de înregistrare, dată, eventual semnătură / structură emitentă (ex: Direcția de Comunicare), contact (telefon/email oficial)
• lipsa comunicării pe canalele oficiale
• tonul este alarmist și vag, cum spuneam
• incoerență logică. Dacă ar exista o amenințare reală de acest tip: poliția ar recomanda apelarea la 112 ar exista descrieri clare ale suspecților / metodei Nu doar „nu le dați informații”.

Oare care este scopul acestei imagini? Sa induca panica? Sau sa mai șubrezească încrederea în autorități prin campanii direcționate subtil impotriva acestora? Apropo, niciodată pe un document nu se va scrie „redirectionat frecvent”. Aceasta este o tehncia de manipulare inspirată din faptul ca pe whatsapp apare o notificare atunci cand un mesaj este suspicios pentru ca este redirectionat frecvent. Cumva, se combate acel mesaj prin aparenta generare a unei legitimitati, folosindu-se de nume de institutii. Cu siguranta aceasta postare este manipulativa in moduri complexe.

Pe scurt, rolul ei pare să fie:

• să combată mesajul de avertizare al Whatsapp cu redirectionat frecvent si sa ii creeze legitimitate
• sa creeze o stare de panica
• sa slabeasca increderea in institutii prin mesaje aparent inovensive daca ar fi distribuite, dar care dau impresia ca institutiile nu comunica eficient si nici nine
• sa creeze impresia ca politia nu este in stare sa ii prinda pe faptasi si singura solutie este sa anunte populatia
• testarea viralității și obținerea de informații despre cine distribuie (cel mai probabil, se pot face niște corelări de date)
• mesajul construit să fie distribuit masiv, mai are și îndemnul la acțiune de tip „trimite tuturor”
• ar putea fi folosit în alte campanii de manipulare și de creare a unei enxietăți difuze

Tehnica aceasta se numește spoofing instituțional, mai exact, pentru că actorii rău intenționați se folosesc de elementele vizuale ale unei instituții pentru a comunica în numele acesteia.

Iată cum, analizând mai în detaliu, se confirmă că acesta este exemplu destul de bine construit de conținut manipulativ care: imită autoritatea, exploatează comportamente digitale (forward) și influențează percepțiile sociale (încredere, siguranță).

„Bună Paul ! Aș vrea să-ți cer o mică favoare: te rog să votezi pentru Silvia. Este fiica prietenilor mei, iar premiul este un curs gratuit de dans, care înseamnă foarte mult pentru ea”

Pare convingător pentru că mi-a folosit numele.

La accesarea linkului, pagina web pare inocentă deși linkul ar trebie să dea de gândit.

Primul lucru pe care trebuie să îl faci este să intri în setări la dispozitive conectate și să elimini tot. Apoi vei avea timp să ștergi mesaje și să răspunzi la apeluri. Este critic să faci asta în primele secunde, până când Whatsapp îți va bloca contul pentru spam timp de 24 ore.

Cum se realizează preluarea contului: 

Siteul cu pricina prezint[ o pagină de vot pentru 2 fete și solicită conectarea cu telefonul pentru a verifica prin cod unicitatea votului. Există și varianta scanării unui cod QR. Ulterior, va apărea fluxul de confirmare a furnizării accesului către un alt dispozitiv. Dacă până acolo nu ți-ai dat aseama, abia în acel moment ar trebui să nu te grăbești și să citești la ce dai acces.

Din păcate, siteul infectat a primit atât de mult trafic de la victime întrucât a picat.

Din păcate, nu am reușit să fac niște capturi de ecran pentru a explica modul în care este gândită campania de phising pentru că siteul a dispărut prea rapid.

Mesajul pare super verific pentru că designul este curat și folosește elementele vizuale ale CEC Bank (culori, logo, bannere).

Linkul către care se face trimitere duce la un site fals de pe alt domeniu, dar care se termină în „/cec/”. Acesta este un semnal că respectivul site conține mai multe pagini false, nu doar cea a CEC Bank.

Primul lucru pe care trebuie să îl verificăm la un astfel de email este de la cine vine.

Apoi, dacă ținem mouseul deasupra butonului sau imaginii unde se presupune că ar trebui să facem click, ne apare pagina de destinație

Aceste 2 elemente de verificare ar trebui să ne dea de gândit pentru că siteul oficial al bănci este cu siguranță altul.

Cu noroc, Google Chrome ne avertizează destul de rapid că siteul țintă este periculos. Dacă nu ne dăm seama că nu aparține de CEC, acest mesaj ar trebui să fie suficient.

Redau aici mesajul de tip tentativă

Draga Client, Am observat un utilizare neobișnuită a cardului dumneavoastră de credit de la adresa IP 213.162.80.119. Ca rezultat, am descoperit că altcineva a folosit cardul dumneavoastră fără permisiunea dumneavoastră. Ce ar trebui să faceți? Apăsați butonul de mai jos pentru a deschide o fereastră de browser securizată și urmați instrucțiunile pentru a efectua imediat o verificare a identității și pentru a revizui activitatea recentă. Mergeți la Internet Banking Notă : Vă rugăm să faceți acest lucru în 24 de ore, altfel va trebui să vă blocăm cardul pe termen nelimitat, deoarece ar putea fi folosit în scopuri frauduloase.Cele bune, Echipa CEC Bank

Ce găsim pe pagina de destinație?

La accesare, va aparea un formular ce solicită datele cardului. Nici o bancă nu vă va solicita ABSOLUT NICIODATĂ aceste informații, mai ales online. Nici măcar angajații băncii nu au acces la astfel de informații.

Dacă cumva ai completat din grabă informația (pentru că astfel de campanii se folosesc de grabă și frică), următoarea pagină îți va da de gândit pentru că afișează o imagine care se încarcă la infint, fără să facă nimic. În tot acest timp, atacatorul va încerca extrem de rapid să îți folosească datele, iar dacă nu va reuși, oricum le va vinde pe un forum. CNPul tău asociat cu emailul de pe care ai venit se pot vinde bine.

Concluzia: nu te grăbi niciodată, verifică orice sursă de informație!

PS: Tehnicile moderne de phising folosesc apelurile vocale și chiar video cu ajutorul inteligenței artificiale. Voi reveni cu articole despre cum să ne protejăm.

Update: Schema Followup

Cel mai interesant lucru este că, deși linkul suspect părea unul generic, acesta avea o denumite unică astfel încât să detecteze faptul că am făcut click.

Ulterior completării formularului care fură datele cardului, am primit un email de followup cu subiectul „Actualizare de securitate necesară pentru contul dumneavoastră”.

Atacul pare că schimbă strategia cu una de tip psihologie inversă pentru cazul în care cititorul și-a dat seama că este vorba de un spam. Cel mai interesant este că emailurile au ajuns în inbox și nu în spam.

De această dată, am primit mesajul de la alt sender, alt link, cu mesajul:

Stimate client,

Contul dumneavoastră a fost suspendat. Trebuie să activați noul sistem de securitate.

Ca răspuns la atacurile recente care au afectat multe sisteme bancare, CEC-BANK în parteneriat cu Poliția pentru consolidarea securității tranzacțiilor necesită actualizarea contului dumneavoastră în următoarele 48 de ore.
Activează Sistemul Nou

* Echipa noastră lucrează întotdeauna pentru a vă oferi tot ce este mai bun.

Vă mulțumim pentru încrederea acordată,

CEC-Bank

Interesant este că, pe pagina de destinație, niciunul intre câmpuri nu are filtre pentru o validare corecta.

Atacatorii au început să utilizeze CAPTCHA false pe diverse site-uri web pentru a păcăli utilizatorii și a compromite sistemele acestora. După ce utilizatorul bifează caseta „Nu sunt robot”, i se solicită să finalizeze pași suplimentari, aparent inofensivi.

Primup pas, prin apăsarea tastelor Windows + R, emite deschiderea ferestrei „Run” dacă dispozitivul este pe sitem de perare Windows. Pasul 2 cere apăsarea  tastelor CTRL+V, urmată de apăsarea tastei Enter. Acești pași vor insera din clipboard unscript care se va rula prin Windows. În realitate, această comandă descarcă și rulează un fișier malițios, compromițând astfel sistemul.

Această tehnică exploatează încrederea utilizatorilor în interfețele familiare ale CAPTCHA și combină ingineria socială cu metode sofisticate de atac pentru a livra malware pe dispozitivele victimelor. Pot cădea în capcană și persoane mai experiemntate întrucât poate face uz de neatenție și grabă.

Siteurile web pot avea acces la clipboard (memoria care stochează informația luată cu funcția „copy”), inclusiv prin scriere (să simuleze că am efectuat copy unui script, de exemplu).

Cum să recunoști un captcha fals

Paginile CAPTCHA legitime se găsesc de obicei pe site-uri web care necesită verificarea utilizatorului, cum ar fi paginile de conectare sau de creare a contului. Simpla vizitare a unui site cu CAPTCHA sau clic pe caseta de selectare „Verificați că sunteți om” nu va instala malware. Iată la ce să fii atent:

• Evitați orice site suspect, mai ales dacă conține inadvertențe, linkuri diferite față de cele uzuale sau modificări de design față de siteul pe care intenționați să îl accesați
• aveți grijă la paginile CAPTCHA care apar pe site-uri web neașteptate sau în aplicații, mai ales dacă au pași suplimentari de verificare. Dialogul de rulare (Tasta Windows + R) ar trebui să fie folosit doar de persoane tehnice, iar un site web nu ar trebui să aibă niciodată nevoie să rulați comenzi folosind această metodă.
• Verificați site-urile web: verificați întotdeauna adresa URL a site-ului web pentru a vă asigura că este legitim.
• mențineți aplicațiile software și sistemul de operare la zi și corectați vulnerabilitățile care ar putea fi exploatate de malware.
• utilizați un antivirus cu protecție web
• Nu urmați niciodată instrucțiunile cu acțiuni manuale. CAPTCHA-urile legitime nu vă vor cere să copiați-lipiți sau să executați scripturi. Dacă o fac, este un motiv de îngrijorare
• Dacă acțiunea apare într-un moment neașteptat sau când vă grăbiți, atunci este momentul să nu vă grăbiți

Una dintre cele mai alarmante tendințe este creșterea „Scam-Yourself Attacks” – o tactică avansată de inginerie socială care păcălește utilizatorii să-și compromită propriile sisteme. Cu o creștere uluitoare de 614% a acestor atacuri Scam-Yourself la nivel trimestrial, această tactică de manipulare psihologică continuă pare să fie unul dintre cele mai periculoase instrumente din arsenalul infracțional cibernetic.

Noua eră a trucurilor cibernetice este despre noi și cum putem fi păcăliți să ne compromitem singuri.

Rolul acestui articol este să te ajute să te ferești de fișierele suspecte, mai exact de arhive.

Un vector de transmitere a virușilor este descărcarea de fișiere în laptopul propiu sau în cel de serviciu și deschiderea acestora. Atacatorii sunt foarte inventivi și nu trebuie subestimați.

Cum recunosc un fișier sau un e-mail suspect?

• Textul e-mailului conține numeroase greșeli gramaticale
• Se trimite un fișier în care scrie că formatul este docx sau .pdf, dar dacă ne uităm mai atent, formatul este .exe .iso sau chiar .zip. (formatele .exe sau .iso sunt executabile, formatul .zip este o arhivă care poate conține un executabil). Multe calculatoare sunt setate să nu afișeze extensia, ceea ce crește riscul de a da click pe un fișier malicios. De asemenea, programele software au un icon propriu. Am întâlnit fișiere executabile cu icon similar cu Microsoft Word, iar fișierul se numea invoice.docx.exe (.exe fiind extensia care nu era afișată pe respectivul calculator).
• Ceva lipsește din context (am văzut atacuri care conțineau inclusiv informații despre clienți vechi ai victimei, era scris și în limba italiată, aceasta fiind limba persoanei care se presupunea că ar fi trimis mesajul. Totuși, lipseau informații importante din context, acel client nu avea de ce să trimită o cerere de ofertă întrucât se încheiase colaborarea de 2 ani).
• Adresa de e-mail a celui care trimite vine de la alt domeniu web (domeniul web se referă la locul unde cel care trimite mailuri își ține căsuța de e-mailuri. De exemplu, dacă am siteul comanpaul.ro, pot să am un email la adresa contact@comanpaul.ro.). Un atacator ar putea să cumpere un domeniu similar „comanpaull.ro” și să trimită un e-mail de la această adresă „contact@comanpaull.ro” sau „contact@c0manpau1.ro unde litera „O” este înlocuită cu cifra „zero”, iar litera „L” cu cifra „1”.
• Un e-mail este suspect dacă ni se solicită parole, coduri PIN sau alte informații confidențiale. Băncile nu au nevoie să afle codul nostru PIN, de exemplu.
• Un e-mail este suspect dacă multe linkuri duc către nicăieri sau duc către pagini care par să nu fie cele adevărate (ex. faceb0Okk.com în loc de facebook.com). Un site fals ar putea să ne fure datele de conectare. Puteți testa introducând o parolă greșită prima dată.
• Dacă suntem conectați în panoul de administrare al unui site al firmei și primim un e-mail care pare interesant dar duce la un link extern ce conține informații despre site-ul nostru, ar putea fi o încercare de injecție al unui script folosindu-se de contul nostru de admin. (exemplu de link suspect: cu link către www.sitedubios.ro?ref=comanpaul.ro).
• Emailurile suspecte îți pot cere să îți actualizezi datele pentru servicii/conturi pe care le ai (Netflix, Google Drive s.a.m.d)
• Formula de salut este una generală, nepersonalizată cu numele tău

Cum pot vedea ce conține o arhivă?

Recomand să nu dezarhivezi niciodată o arhivă până nu verifici ce se află înăuntru.

https://extract.me/ este un instrument online care te lasă s încarci o arhivă mică din calculator, Google Drive sau Dropbox și să o dezarhivezi online.

https://www.virustotal.com/gui/ este un scanner online pentru viruși care folosește în jur de 60 de antivirusuri online. La acest instrument putem verifica și site-uri.

Recomandările mele:

• dacă un e-mail pare urgent, dar ceva este ciudat, mai bine să îl ștergi. Dacă cineva are ceva urgent cu tine, te va putea apela direct.
• protejează-ți conturile prin autentificare cu mai mulți factori
• nu folosi aceeași parolă peste tot
• nu da click pe orice fișier fără să analizezi de unde vine și ce conține

Trebuie să cunoști următoarele lucruri despre parola ta:

• dacă parola ta este ușor de ghicit, prea scurtă sau prea simplă, sunt șanse ca un atacator să încerce să o spargă în diverse locuri în care ai conturi (mai ales dacă respectivele site-uri sunt slab securizate) și mai ales dacă folosești aceeași parolă peste tot
• unele aplicații și siteuri pot să nu cripteze parola în realitate, asta înseamnă că poate fi vizibilă
• dacă un site nu este bine securizat (și aici nu mă refer numai la bara verde) parola ta poate fi interceptată și de un alt atacator
• dacă cineva ți-a furat parola și obține date despre locurile unde ai conturi sau cum se numește adresa ta de e-mail, ar putea să încerce să îți fure și mai multe date din și mai multe conturi
• un atacator nu trebuie să știe parola ta pentru a avea acces la conturile tale. Dacă dai click pe linkuri suspecte, sesiunea ta de utilziator autentificat pe anumite site-uri poate fi furată. De asemenea, dacă permiți accesul unor aplicații terțe în interiorul altora, acestea ar putea colecta date despre tine (ex. Addons în Google Drive, Aplicații Facebook, Aplicații pe telefonul tău, butonul de Facebook Login)

Îți recomand:

• măcar o dată la câțiva ani, mai schimbă parolele
• nu folosi aceeași parolă peste tot
• dacă ai multe parole, nu le ține într-un loc ușor de pătruns. Poți chiar să utilizezi un Password Vault Software
• nu folosi parole simple, scurte și formate din litere prea apropiate pe tastatură
• chiar dacă ai schimbat parola, nu uita să mai verific și cine are acces în contul tău, ce IP-uri se loghează și ce aplicații au acces la datele tale în fiecare platformă

Atacatorii se folosesc de modulele cu cele mai multe instalari pentru a căpăta acces în anumite site-uri cu scopul de a căpăta putere de atac sporită asupra altor site-uri sau pentru a fura date despre vizitatori, cărțile de credit sau pentru a fura trafic web ori pentru a livra reclame. Scopul evident este acela de a face bani.

Există chiar și servicii de atac la comandă la prețuri derizorii ce pot face un site neactualizat o țintă sigură.

WordPress este o platformă care ajută la construirea de site-uri web rapid. Pentru orice funcționalitate se găsesc module gratuite dezvoltate de comunitate sau contra-cost. Pentru că modulele gratuite sunt la liber, orice atacator poate avea acces la acestea pentru a le analiza vulnerabilitățile, acesta fiind și prețul flexibilității pe care îl plătesc utilziatorii de WordPress.