Kapitel 20:
Social Engineering

»Amateure hacken Computersysteme, Profis hacken Menschen!« Dieser Ausspruch kommt vom Security-Guru Bruce Schneier, den Sie bereits in Kapitel 5 Kryptografie und ihre Schwachstellen kennengelernt haben. Das »Hacken« von Menschen nennen wir Social Engineering. Und tatsächlich ist diese Technik auf sozialer Ebene oftmals erfolgversprechender als jeder Angriff auf die Computersysteme des Opfers.

‌In diesem Kapitel erklären wir Ihnen die psychologischen und technischen Hintergründe zum Social Engineering und mit welchen Mitteln hier gearbeitet wird. Neben den gängigsten »Angriffsformen« werfen wir auch einen Blick auf das Social-Engineers Toolkit (SET), eines der wichtigsten Tools, das uns dabei unterstützt, die Anfälligkeit eines Unternehmens oder einer Organisation auf Social-Engineering-Angriffe zu überprüfen. Dies sind die Themen:

Auch wenn wir in diesem Kapitel einige Tools zum Einsatz bringen, geht es bei diesem Thema doch eher um Konzepte und Hintergründe. Professionelles Social Engineering – insbesondere, wenn der Angreifer persönlich mit dem Opfer in Kontakt tritt – ist eine Kunst für sich und wird oft von darauf trainierten Spezialisten durchgeführt. Doch auch die computerbasierten Angriffe werden immer ausgefeilter und schwieriger zu erkennen.

20.1   Einführung in das Social Engineering

Kevin Mitnick (leider im Juli 2023 verstorben) gilt als einer der gefährlichsten Hacker aller Zeiten. Er wurde 1988 das erste Mal festgenommen und verurteilt, nachdem er diverse Male in das US-Verteidigungsministerium und in das Netz der NSA eingedrungen war. Weitere Festnahmen folgten. Nachdem er im Jahr 2000 freigelassen wurde, bekam er die Auflage, in den nächsten drei Jahren keinen Computer mehr anzufassen. Der Staatsanwalt bemerkte dazu, dass Kevin Mitnick einen Nuklearkrieg anzetteln könnte, wenn er ins Telefon pfeift.

Besagter Mitnick hat anschließend einige sehr lesenswerte Bücher geschrieben, unter anderem »Die Kunst der Täuschung«. In diesem Buch wird deutlich, dass sein Vorgehen nur zu einem sehr kleinen Teil aus dem klassischen, computerbasierten Hacking bestand, wie wir es bisher im Fokus hatten.

Stattdessen war er ein Meister in der Manipulation von Menschen. Wer die menschliche Psyche versteht und an den richtigen Fäden zieht, kann sein Opfer oftmals wie eine Marionette »tanzen« lassen – bildlich gesprochen. Letztlich hatte Mitnick es in vielen Fällen gar nicht nötig, auf umständlichen Wegen technische Lücken zu finden und diese über ausgeklügelte, nächtelang entwickelte Exploits auszunutzen, um an das Passwort des Administrators zu gelangen – stattdessen wurde es ihm gewissermaßen »frei Haus« geliefert, indem er jemanden mittels Social Engineering dazu bringen konnte, es ihm zu verraten. Genau das macht diesen Angriffsvektor so attraktiv und gefährlich zugleich – je nach Perspektive.

20.1.1   Welche Gefahren birgt Social Engineering?

Die ehrliche Antwort fällt ziemlich krass aus: so ziemlich alle Gefahren, die Hacking an sich mit sich bringt: angefangen von einem Image-Verlust für das Unternehmen bis hin zu existenzbedrohenden Szenarien! Social Engineering kann nicht gefährlich genug eingestuft werden. Die meisten Angriffsvektoren, die Sie bisher kennengelernt haben, können durch Social Engineering ergänzt, verschärft oder sogar ersetzt werden.

Passwortangriffe? Durch Social Engineering servieren die Benutzer dem Hacker die gewünschten Daten auf dem Silbertablett. Keylogging und Adware? Wozu, wenn die relevanten Informationen und Dokumente von autorisierten Personen höchstselbst übermittelt werden? Ransomware? Überflüssig, wenn der Benutzer seine Kreditkartendaten freiwillig übermittelt. Zugang zu Servern? Auch das ist oftmals kein Problem mit einem überzeugenden Auftreten und den richtigen Rahmenbedingungen. Session Hijacking? Wird nicht mehr benötigt, wenn der Benutzer seine Zugangsdaten freiwillig aushändigt.

Social Engineering bedroht also tatsächlich alle Bereiche der Unternehmenssicherheit. Dementsprechend ist es enorm wichtig, die Mechanismen dahinter zu verstehen und damit entsprechend sensibilisiert zu sein. Werfen wir also einen Blick auf die Psychologie hinter dem Social Engineering.

20.1.2   Verlustangst, Neugier, Eitelkeit – die Schwachstellen des Systems Mensch

Werden Schwachstellen und Programmierfehler bei Computersystemen entdeckt, können diese gepatcht werden. Im Zweifel hilft ein Update auf die nächste Version der Software. Beim Menschen ist das leider nicht so einfach: Unser Gehirn arbeitet nach bestimmten Mechanismen und bietet regelmäßig eine Reihe von Schwachstellen an, die die »Human Hacker«, wie Social Engineers sich auch nennen, ausnutzen können. Unbedarftheit bzw. ein Stück Naivität, gepaart mit einigen typischen Emotionen, bieten den Boden, auf dem Social Engineering wachsen und gedeihen kann.

Emotionen als Schwachstelle

‌Insbesondere Verlustangst, aber auch Gier, Neugier, Eitelkeit oder Autoritätshörigkeit sowie Hilfsbereitschaft sind gern genutzte Schwachstellen im System »Mensch«, gegen die leider kein Patch existiert. Schauen Sie sich z.B. auf Abbildung 20.1 die recht gut gestaltete Phishing-Mail an.

Hier erkennen Sie bereits einige typische Merkmale: Zunächst einmal wird in der Überschrift Angst und Schrecken erzeugt: »Ihr Konto wurde eingeschränkt!« Damit wird ein fiktives Problem erzeugt, auf das unbedarfte Benutzer emotional – nämlich mit Verlustangst – reagieren: »Oh nein, ich brauche doch mein PayPal-Konto! Was muss ich tun, um das Problem möglichst schnell zu beseitigen?«

[Bild]

Abb. 20.1: Eine PayPal-Phishing-Mail

Problemlösung anbieten

An dieser Stelle kommt natürlich auch gleich die vermeintliche Problemlösung: Nämlich einfach auf den Button klicken, um die scheinbar notwendige Verifizierung vorzunehmen. Und zur Verstärkung der Glaubwürdigkeit wird das Ganze auch noch in einen Security-Kontext eingebettet, sodass es durchaus nachvollziehbar ist, warum das Konto eingeschränkt wurde und die Verifizierung notwendig ist. Als Obolus wird im Anschluss an die Verifizierung sogar noch ein kostenloses (hier wird die Gier angesprochen) Sicherheitsupdate angeboten.

Glaubwürdig wird die Mail darüber hinaus auch durch zwei weitere Faktoren: Zum einen ist das Deutsch mittlerweile in vielen Phishing-Mails fast fehlerfrei und zum anderen wird die Mail noch mit Nebensächlichkeiten, wie Werbung von PayPal garniert, wodurch die Echtheit unterstrichen werden soll.

Wer nun seinem inneren Drängen nachgibt und auf den Button zur Verifizierung klickt, wird auf eine Webseite geleitet, die nicht nur eine höfliche Einladung zur Eingabe der persönlichen Anmeldedaten bei PayPal enthält, sondern vermutlich auch gleich eine ganze Reihe von Exploits beherbergt, die auf den Browser losgelassen werden und versuchen, Schadcode zu injizieren. Spätestens bei dem kostenlosen »Sicherheitsupdate« wird es sich in diesem Szenario um einen Trojaner handeln.

Woran erkenne ich eine Phishing-Mail?

Man möchte meinen, dass es mittlerweile nur noch wenige Menschen gibt, die auf derartige Mails hereinfallen – aber das Gegenteil ist der Fall: Die Phisher, das sind diejenigen, die die Phishing-Mails versenden, kommen kaum hinterher mit der Abarbeitung bzw. dem Verkauf der eingesammelten Anmeldedaten! Und woran liegt das? Nun, objektiv gesehen, können wir an einigen Punkten erkennen, dass diese Mail nicht wirklich von PayPal kommt:

  • Zunächst wird ein Kunde in fast allen Fällen mit dem Namen angesprochen – ist dies nicht der Fall, so sollten schon einmal die Alarmglocken schrillen. Aber Achtung: Mittlerweile werden die Kunden oftmals sogar in Phishing-Mails mit Namen angesprochen, sodass dies kein alleiniges Sicherheitskriterium ist (siehe Spear-Phishing-Angriffe in Abschnitt 20.3.3).

  • Hinzu kommt, dass seriöse Unternehmen ungefragt keine Links versenden, die zu Anmeldeseiten führen, um die Anmeldedaten zu verifizieren.

  • Auch der Absender der Mail ist in der Regel nicht der Anbieter (auch wenn sich dies einfach fälschen lässt).

  • Schließlich – und das ist die wertvollste Waffe – bringt eine Überprüfung des Hyperlinks hinter dem Verifizieren-Button zutage, dass das Ziel keineswegs die Website des Anbieters ist, sondern in der Regel auf eine Webseite in Russland, China oder ein anderes fernes Land führt. Wichtig ist dabei immer die Endung: Mit einer Adresse wie www.paypal.de-3d-process.com wird sogar noch versucht, die Domain de-3d-process.com zu verschleiern.

  • Und auch wenn dieses Kriterium langsam ausstirbt: Achten Sie auf offensichtliche und gehäufte Rechtschreibfehler und Fehler in der Grammatik.

Interessanterweise fallen auch viele Benutzer auf derartige Mails herein, die normalerweise eher skeptisch sind. Woran liegt das?

Verstand vs. Bauch

Lassen Menschen ihren Verstand sprechen – und nur diesen –, dürften die wenigsten Phishing-Mails Erfolg bei ihnen haben. Dass dennoch so viele intelligente und gebildete Menschen auf Phishing-Mails hereinfallen, liegt daran, dass der Verstand in vielen Fällen gar nicht zum Zug kommt.

Tatsächlich übernimmt nämlich der Bauch – ein anderes Wort für die Emotionen eines Menschen. Das Bauchgefühl drängt darauf, den Button anzuklicken, um das Problem möglichst schnell zu lösen. Dies passiert immer dann, wenn man glaubt, die Situation erfasst zu haben und alle Informationen zu besitzen, die für eine Entscheidungsfindung notwendig sind. Daher wird auch nur noch oberflächlich geprüft und der Warnmelder im Hinterkopf ist nicht mehr in der Lage, sich bemerkbar zu machen.

Dies liegt daran, dass Emotionen sehr viel schneller verfügbar sind als eine vom Verstand gesteuerte Analyse. In Zeiten, in denen wir fast ständig der totalen Reizüberflutung ausgesetzt sind, versuchen wir, die Informationen auf das vermeintlich Wesentliche zu reduzieren. Daher werden entsprechende Signale unterbewusst dankbar angenommen, die dazu führen, die Sicherheit der Entscheidungsfindung zu erhöhen. Und hier geht alles über Vertrauen.

Vertrauen schaffen und Glaubwürdigkeit erzeugen

Ein elementarer Bestandteil des Social Engineerings liegt darin, das Vertrauen des Leidtragenden zu erlangen. Möglichst arglos soll das Opfer dazu gebracht werden, die gewünschte Handlung auszuführen und damit die ersehnte Information preiszugeben. Der Human Hacker muss also eine Umgebung schaffen, der das Opfer vertraut. Das ist nicht nur beim Phishing essenziell, sondern bei so ziemlich allen Formen des Social Engineerings.

Wie schwierig es ist, das nötige Vertrauen bzw. Glaubwürdigkeit aufzubauen, hängt von der Situation ab. Beim E-Mail-Phishing muss die Mail möglichst vertraut aussehen, daher auch die passenden Logos und die Werbung. Die Anmeldeseite zur Eingabe der Benutzerkennung sollte ebenfalls möglichst vertraut erscheinen. Wie Sie noch sehen werden, ist es überhaupt kein Problem, eine solche Anmeldeseite zu erzeugen. Wie das geht, lernen Sie in Abschnitt 20.4.2.

In der hohen Kunst der persönlichen Interaktion mit dem Opfer muss der Social Engineer ebenfalls Vertrauen erwecken, zum Beispiel:

  • Besonders sympathisches Auftreten: Das Opfer neigt dazu, dem Human Hacker zu vertrauen, und gibt bereitwillig Informationen preis. Dies kann z.B. auch durch das Eingehen einer Liebesbeziehung herbeigeführt werden. Dieses Vorgehen kennen wir aus den Agentenfilmen und nennt sich Romance Scam bzw. Love Scam.

  • Aneignung einer vertrauten Identität: Der Angreifer kann auch persönliche Informationen vom Opfer in Gespräche mit einbinden, die er z.B. durch dessen Social-Media-Aktivitäten leicht erlangen kann.

  • Autoritäres Auftreten: Das Opfer ist verunsichert, weil es sich einer Autorität gegenüber wähnt, und gibt daher Informationen preis. Die Autorität kann in Form eines vermeintlichen Vorgesetzten oder Polizeibeamten oder Ähnlichem vorgetäuscht werden. Das wird insbesondere auch bei Rentnern gern ausgenutzt, um z.B. in die Wohnungen der Opfer zu gelangen – hat nicht unbedingt etwas mit IT zu tun, ist aber ein griffiges Beispiel.

  • Hilfsbereitschaft ausnutzen: Der Human Hacker täuscht z.B. eine Notlage vor und bittet das Opfer um Hilfe: »Bitte gib mir mal schnell dein Passwort für die Anmeldung, ich habe meins vergessen, und wenn ich den Bericht nicht in 30 Minuten fertig habe, werde ich gefeuert!«

  • Auftreten als autorisierte Person: Der Human Hacker ruft bei einem Benutzer an: »Hallo, mein Name ist Tanja Müller von der IT-Administration. Ich bräuchte bitte mal schnell Ihr Passwort, um den neuen Patch auf Ihrem System einspielen zu können.«

  • Schmeichelei: Dem Opfer wird geschmeichelt, bis es aus Eitelkeit bzw. Geltungsbedürfnis unbedarft sensible Informationen herausgibt oder Zugang zu geschützten Daten gewährt. Nicht selten erfordert dies zunächst die Aufnahme einer persönlichen Beziehung, um Vertrauen aufzubauen.

In allen Fällen geht es darum, die Kontrollmechanismen durch den Verstand mit Emotionen und eingefahrenen Verhaltensmustern zu umgehen.

20.1.3   Varianten des Social Engineerings

Sie haben bereits einige wichtige Beispiele für Social Engineering kennengelernt. Darüber hinaus gibt es noch weitere Formen. An dieser Stelle möchten wir die Varianten einmal kurz kategorisieren:

Human Based Social Engineering

‌Dieses stellt die klassische Form des Social Engineerings dar. Dabei interagiert der Angreifer direkt mit dem Opfer – über Chat, Telefon oder persönlich. Wie oben bereits beschrieben, ist die Glaubwürdigkeit essenziell, um Vertrauen beim Opfer zu erzeugen. Der Human Hacker muss sich also möglichst umfangreiche Informationen beschaffen, mit denen er glaubhaft machen kann, dass er die Person ist, die er zu sein vorgibt, und seine Absichten redlich und legitim sind.

Computer Based Social Engineering

Mittels entsprechender Technologien werden Benutzer dazu gebracht, sensible Daten (in der Regel Zugangskennungen oder Kreditkartendaten) preiszugeben. Hierzu zählen unter anderem:

  • ‌Phishing: Der Benutzer‌ wird in der Regel per E-Mail dazu gebracht, eine präparierte Webseite zu besuchen. Hier werden Anmeldedaten abgefragt und/oder Exploits gestartet, die den Browser mit Schadcode kompromittieren sollen.

  • Fake Websites/Popups: ‌Auf präparierten Webseiten erscheinen plötzlich Popups oder andere Warnmeldungen, die eine dringende Reaktion vom Benutzer erfordern, um Schaden abzuwenden – in der Regel wurden vermeintlich Viren oder andere Malware erkannt, die nun über die Installation eines entsprechenden Tools entfernt werden können. Damit macht man den Bock zum Gärtner: Das Tool tut natürlich alles andere als Malware zu »entfernen« ...

Wir gehen in Abschnitt 20.3 detaillierter auf das Thema Computer Based Social Engineering ein.

Reverse Social Engineering

‌Diese Form ist besonders perfide. Sie beruht darauf, dass der Angreifer zunächst ein (in der Regel technisches) Problem verursacht und sich anschließend als Autoritätsperson zu erkennen gibt, die das Problem lösen kann (z.B. als Supportmitarbeiter oder Administrator). Aus Dankbarkeit für die schnelle Hilfe überlegt das Opfer nicht lange und händigt dem Human Hacker die sensiblen Informationen aus, die dieser vorgibt, zu benötigen, um das Problem zu beheben. Diese Variante ist sehr anspruchsvoll in der Umsetzung, da das Szenario genau geplant und auch das Hintergrundwissen des Angreifers sehr umfassend sein muss, damit die notwendige Glaubwürdigkeit erzeugt wird. Das Reverse Social Engineering wird teilweise auch dem Human Based Social Engineering zugeordnet.

Mobile Based Social Engineering

‌Wie nicht anders zu vermuten, werden hier die spezifischen Eigenheiten der Mobile-Technologie ausgenutzt. Dazu zählen bösartige Apps, die entweder im regulären App-Store platziert werden oder über andere Wege auf das Opfer-Smartphone oder -Tablet gelangen. Eine Variante hiervon ist das sogenannte »Repackaging« von legitimen Apps. Dabei werden beliebte Apps gefälscht, mit Malware versehen und z.B. unter demselben oder einem sehr ähnlichen Namen in den App-Store hochgeladen. Wie derartige Apps erstellt werden, zeigen wir Ihnen in Kapitel 29 Mobile Hacking. Außerdem gibt es auch hier Fake-Security-Apps, die vorgeben, Malware zu bekämpfen, obwohl sie diese verbreiten.

Vorsicht: Anbieter können Malware nicht immer verhindern!

Auch wenn die App-Store-Anbieter die angebotenen Tools bestimmten Tests unterziehen, um Malware entsprechend zu verhindern, schaffen es die Malware-Hersteller immer wieder, ihre Produkte zu tarnen. Insbesondere bei App-Stores für Android-basierte Systeme können Sie sich nicht immer darauf verlassen, dass die angebotenen Apps keine Malware enthalten.

Manche Kettennachrichten in Messengern wie WhatsApp, Facebook und Co. fordern die Empfänger auf, die empfangene Nachricht innerhalb einer bestimmten Zeit an eine gewisse Anzahl an Personen weiterzusenden und im Anschluss auf einen Link zu klicken. Dabei werden meist durch eine dringende Falschmeldung (Hoax) Emotionen erzeugt. Diese Nachrichten sind nicht nur nervig, sondern auch sehr gefährlich, sollte sich hinter dem Link eine entsprechend präparierte Webseite verbergen.

Last, but not least existiert mit dem Smishing (SMS-Phishing) eine Phishing-Variante für den Kurznachrichten-Dienst SMS. Hier gibt es aktuell eine neue Taktik, bei der z.B. die vermeintliche Tochter ihren Vater darüber informiert, eine neue Handy-Nummer zu haben und ihn dazu auffordert, sie über die neue Nummer via WhatsApp zu kontaktieren. Anschließend wird Papa darum gebeten, ganz schnell eine wichtige Rechnung zu begleichen, weil Töchterchen in Not geraten ist. Ein studierter Lehrer aus unserem engeren Freundeskreis ist auf diese Masche schon fast hereingefallen, wir konnten ihn glücklicherweise rechtzeitig bremsen, bevor er das Geld überwiesen hat.

20.1.4   Allgemeine Vorgehensweise beim Social Engineering

Wie bei einem professionellen Hacking-Angriff unterscheiden wir auch beim Social Engineering bestimmte Schritte, die eine Reihenfolge in der Vorgehensweise definieren:

  1. Reconnaissance: Das Recherchieren von Hintergrundinformationen ist essenziell für ein effektives Social Engineering. Hier kommen die üblichen Methoden und Tools zum Einsatz, wobei der Schwerpunkt auf der Recherche von Daten zu Mitarbeitern des Unternehmens liegt. Hierbei kommt den sozialen Medien natürlich eine besondere Bedeutung zu.

  2. Auswählen der Zielperson(en): Je genauer bestimmt werden kann, wer in der Lage ist, die gewünschten Informationen zu liefern, und wie die Vorgehensweise ist, desto glaubwürdiger kann das Szenario aufgebaut und Vertrauen geschaffen werden.

  3. Kontaktaufnahme und Aufbau einer Beziehung zur Zielperson: Die Interaktion mit der Zielperson kann entweder nur von kurzer Dauer sein (in der Regel, um das Überraschungsmoment zu nutzen) oder über einen längeren Zeitraum entwickelt werden (um deren Vertrauen zu erlangen).

  4. Entlocken und Ausbeuten der sensiblen Informationen: Die beste Information ist nichts wert, wenn man sie nicht entsprechend einsetzt. Aber auch hier gilt, dass der Einsatz wohlüberlegt sein will, um möglichst unauffällig zu bleiben.

Abbildung 20.2 verdeutlicht noch einmal die Vorgehensweise.

[Bild]

Abb. 20.2: Vorgehen beim Social Engineering

Je nach Ausgangslage muss der Ansatz nach Bedarf angepasst werden. Unter dem Strich ist insbesondere das Human Based Social Engineering eine sehr individuelle Angelegenheit und erfordert nicht nur Raffinesse, sondern auch ein hohes Maß an Flexibilität, Kreativität und vor allem Empathie, um die psychologischen Gegebenheiten der Zielperson bestmöglich ausnutzen zu können. Schauen wir uns diesen Bereich einmal genauer an.

20.2   Human Based Social Engineering

‌Durch den direkten Kontakt des Angreifers (nennen wir ihn im Folgenden Social Engineer) mit dem Opfer ist diese Variante die intensivste Form des Social Engineerings und damit die gefährlichste und zugleich erfolgversprechendste. In diesem Abschnitt schauen wir auf gängige Szenarien.

20.2.1   Vortäuschen einer anderen Identität

Je nach Ausgangssituation kann der Social Engineer die Identität einer legitimen oder autoritären Person vortäuschen, um an sein Ziel zu gelangen. Dies wird im Englischen als Impersonation bezeichnet.

Vishing

‌Im‌ Rahmen des Human Based Social Engineering und der damit oftmals verbundenen Vortäuschung einer fremden Identität spielt das Vishing eine herausragende Rolle. Es ist eine Variante des Phishings und meint Voice-Phishing. Das Opfer wird per Telefon kontaktiert und dazu verleitet, vertrauliche Informationen, insbesondere Passwörter, zu verraten. Obwohl es Situationen gibt, in denen der Social Engineer persönlich von Angesicht zu Angesicht mit dem Opfer kommuniziert, ist der Häufigkeitsfall doch die Kommunikation via Telefon. Die meisten der im Folgenden genannten Beispiele funktionieren entweder besser oder mindestens auch per Telefon.

Der legitime End-Benutzer

Der einfachste Fall ist die Rolle eines nicht-privilegierten Benutzers, der z.B. beim Service Desk vorspricht: »Hallo, mein Name ist Janina Neumann. Ich habe letzte Woche mein Passwort geändert und war dann im Urlaub. Jetzt habe ich es vergessen. Könnten Sie freundlicherweise mein Passwort zurücksetzen?«

Tritt »Janina« glaubhaft auf, erhält sie vielleicht nicht das alte Passwort, aber der nette Service-Desk-Mitarbeiter setzt das Passwort für ihren Benutzernamen zurück und händigt ihr ein Initialpasswort aus, das sie bei der nächsten Anmeldung ersetzen muss. Voraussetzung für den Erfolg des Angriffs ist hier natürlich, dass Janina nicht persönlich bekannt ist. Das ist in größeren Unternehmen häufig nicht der Fall, sodass die Rechnung durchaus aufgehen kann.

Der hier genutzte Mechanismus ist der Wunsch zu helfen. Ohne jemandem zu nahe treten zu wollen, muss es trotzdem betont werden: Handelt es sich z.B. um eine junge, hübsche Dame, erhält diese bei den männlichen Mitarbeitern oftmals einen Vertrauensbonus, da bei entsprechendem Verhalten der Dame sogar noch der Beschützerinstinkt oder aber der Wunsch zu gefallen angesprochen wird. Die Grundlage des Angriffs ist hier, wie auch in den anderen Szenarien, dass die Identität des Angreifers nicht ausreichend geprüft wird.

Der wichtige Mitarbeiter und andere Autoritäten

Ein oftmals sehr gut funktionierender Ansatz ist die Darstellung einer Autorität. Wer jetzt an den Chef bzw. CEO oder Vorstandsvorsitzenden etc. denkt, der geht vielleicht nicht unbedingt den erfolgversprechendsten Weg, da diese Personen oftmals persönlich bekannt und damit schnell identifiziert werden können.

Besser eignen sich dafür oft Assistenz- oder Sekretär-Positionen, zumal es weit verbreitet ist, dass z.B. die Chef-Assistenz inoffiziell sehr viel Macht hat und Herr (bzw. Frau) über Wohl und Wehe der Angestellten ist. Es wäre nicht das erste Mal, dass ein übermotivierter Mitarbeiter, der einen Fehler zur falschen Zeit am falschen Ort (ggf. im Vorzimmer des Chefs) gemacht hat, das Unternehmen verlassen müsste.

Derartige Positionen eignen sich hervorragend, um ein unausgesprochenes Bedrohungsszenario für das Opfer aufzubauen, das allein auf dem Ruf bzw. der Position des Mitarbeiters, den der Angreifer vortäuscht, basiert. Wichtig ist, dass der (angerufene) Mitarbeiter das Gefühl hat, mit jemandem zu sprechen, der höher gestellt ist als er selbst und ihm im Zweifel Ärger bereiten kann. Dies kann auch noch mit weiteren Drohkulissen garniert werden, z.B. folgendermaßen:

»Hallo, hier ist Jens Wolters, Assistenz der Geschäftsleitung. Ich bin gerade unterwegs zu einer Präsentation der Geschäftsführung vor interessierten Käufern und benötige Zugang zu einem sehr wichtigen Projekt-Dokument für die neue Technologie. Leider habe ich gerade keinen Zugriff zu meinem Remote-Zugang. Könnten Sie mir das Dokument bitte auf meine private E-Mail-Adresse jwolters@privat.tld schicken? Wenn die Präsentation misslingt, kostet das die Firma Millionen! Das soll doch sicher nicht an Ihnen hängen bleiben, oder?«

Analog funktioniert auch der vorgetäuschte Ordnungshüter, also z.B. ein Polizist in gefälschter Uniform oder ein Beamter in Zivil, der einen gefälschten Ausweis zeigt. Auch wenn sich in der heutigen Zeit in einigen gesellschaftlichen Schichten hier leider ein Wandel andeutet, so haben Polizei und andere Sicherheitskräfte allgemein noch einen recht hohen Autoritätsstatus, den der Social Engineer ausnutzen kann.

Die hier genutzte Psychologie ist der Respekt vor Autoritäten, also Menschen, die (scheinbar) gesellschaftlich oder beruflich höhergestellt sind. Hier werden Anordnungen oft nicht hinterfragt und Identitäten nicht ausreichend geprüft. Falsch verstandener Respekt oder Angst vor Repressalien verhindern eine angemessene Prüfung der Identität und der Autorisierung der jeweiligen Aufforderung bzw. Anfrage.

‌Nach diesem Prinzip funktioniert auch CEO Fraud, Fraud ist das englische Wort für Betrug. Dabei werden sehr gut gefälschte E-Mails, scheinbar von einem Mitglied der Unternehmensführung, an Mitarbeiter mit Zugriff auf die Geschäftskonten gesendet. Darin wird eine dringende Überweisung hoher Geldbeträge angewiesen. Die Human Hacker recherchieren für diesen Angriff so viele interne Informationen, dass die Fälschungen oft nicht erkennbar sind. Zusätzlich werden die Empfänger der Mails zur Geheimhaltung der Überweisung und dieser E-Mail angewiesen.

Technischer Support

‌Ein Klassiker ist die Darstellung eines technischen Mitarbeiters gegenüber einem möglichst wenig technisch affinen Opfer. Dies kann ein Techniker eines Druckerherstellers sein, der einen (ggf. defekten) Drucker warten möchte, oder aber ein Elektriker, Mitarbeiter des Providers oder ein beliebiger anderer Techniker, der eine reguläre, angeforderte bzw. normale Tätigkeit durchführt. Dieser Angriff wird auch als Technical Support Scam bezeichnet. Eine typische Situation ist der Anruf beim Benutzer und der Versuch, dessen Passwort zu erhalten:

»Hi, hier spricht Svenja Ludwig vom Netzwerk-Team. Wir prüfen gerade auf allen Workstations die Performance und haben festgestellt, dass es Probleme mit dem Zugang zum Internet gibt. Haben Sie kürzlich Verzögerungen beim Zugriff auf einzelne Websites festgestellt?«

Die Antwort ist eigentlich immer »ja«, da das Internet gefühlt immer mal wieder langsam ist. Die Antwort nutzt der Social Engineer:

»Ja, das bestätigt unsere Messungen. Wir haben das Gateway zum Internet umgezogen und ich würde gern Ihren Computer für das neue Gateway konfigurieren. Wenn Sie mir Ihre Zugangsdaten nennen, kann ich das sofort erledigen und die Performance testen. Dann können Sie endlich wieder mit voller Geschwindigkeit surfen.«

Klingt billig? Funktioniert aber immer wieder! Sicher nicht bei jedem, daher ist vorher ggf. eine gründliche Recherche nötig, um arglose und gutgläubige Opfer zu identifizieren.

Hinweis: Vorsicht vor Microsoft-Fraud

Eine weitere Masche von Technical Support Scam ist der Microsoft-Fraud. Hier gibt sich der Social Hacker für einen Mitarbeiter des Microsoft-Supports aus und bietet dem Opfer seine Hilfe an. Das können vorgetäuschte Probleme sein, die anhand von kryptischen Logfiles belegt werden sollen, oder das Angebot zur Update-Unterstützung auf Windows 11.

Im Endeffekt werden hier zwei psychologische Schwachstellen ausgenutzt: Zum einen meldet sich ein »kompetenter« Mitarbeiter des technischen Supports, und die müssen ja wissen, was sie tun – ich als Benutzer weiß es jedenfalls nicht. Zum anderen wird dem Opfer Besserung in Aussicht gestellt. Und zwar für das unsäglich langsame Surfen im Internet – dem »World Wide Wait«.

20.2.2   Shoulder Surfing & Co.

Im Rahmen des Human Based Social Engineering gibt es einige weitere Angriffsvektoren, die wir Ihnen in diesem Abschnitt vorstellen möchten. Dabei ist nicht zwangsläufig eine direkte Kommunikation mit dem Opfer notwendig.

Shoulder Surfing

‌Eine interessante Erfahrung, die der Autor Eric erlebt hat, begab sich in den ersten Monaten seiner IT-Karriere als Administrator, als er noch sehr unbefangen war und dementsprechend unsicher in seiner Reaktion – schildern wir es aus seiner Perspektive:

Einer meiner Kollegen, Ralf, überfiel mich gern mit dringenden Anfragen, die ich doch mal kurz checken sollte. Interessant war, dass jener Kollege Ralf dann auch gern hinter mir stand und mir bei der Eingabe des Passworts über die Schulter schaute.

Damals war meine Reaktion nur die, dass ich mich besonders beeilte, mein Passwort einzugeben, damit er es nicht mitbekommt. Heute würde ich mich umdrehen und ihn auffordern, die Etikette einzuhalten und bei der Eingabe des Passworts erkennbar wegzuschauen.

Das, was Ralf damals offensichtlich im Sinn hatte, war das Shoulder Surfing. Darunter verstehen wir das Beobachten der Aktivitäten des Benutzers über dessen Schulter hinweg, also irgendwo hinter ihm. Dadurch kann der Angreifer entweder Tastatureingaben (insbesondere das Passwort) erspähen oder aber relevante Bildschirmausgaben, die ggf. ebenfalls sensible Informationen enthalten. Im ungünstigsten Fall kann der Angreifer dies natürlich auch über Sichterweiterungsgeräte wie Ferngläser etc. von deutlich entfernteren Orten durchführen.

Eavesdropping (Lauschen)

‌Haben Sie Kinder? Wenn ja, kennen Sie vermutlich die Problematik des Lauschens. Kinder sind ja sooo neugierig. Sie wollen alles wissen und lauschen auch gern bei Gesprächen, die nur für Erwachsene bestimmt sind. Und in gleicher Weise kann es passieren, dass im beruflichen Umfeld vertrauliche Informationen verbal ausgetauscht werden und der Angreifer mithört. Dabei umfasst das Eavesdropping diverse Formen der Kommunikation, insbesondere:

  • Verbal (auch via Telefon oder aufgenommene Audio-Files)

  • Video (wobei auch hier die Tonspur die wichtigste Informationsquelle ist)

  • Texte (abgefangene Dokumente, aber auch Bildschirmtexte etc.)

Dies betrifft natürlich ebenfalls E-Mail und Instant Messaging. Alles, was der Angreifer an übermittelten Informationen abfangen kann, wird er analysieren und ggf. nutzen.

Dumpster Diving

‌Es gibt angenehme und eher unangenehme Arbeiten in so ziemlich jedem Job. Beim Hacking gehört das Dumpster Diving (übersetzt: Müllcontainer-Tauchen) vermutlich zu den eher unangenehmen Aufgaben. Es bezeichnet das Durchsuchen des Mülls der Zielperson oder -organisation.

Während das Durchsuchen der Mülltonnen hinter dem Gebäude des Unternehmens noch relativ einfach geschehen kann und nur bedingt erfolgversprechend ist, ist das Dumpster Diving innerhalb des Unternehmens oft wesentlich lukrativer.

Gelingt es dem Social Engineer, in die Büros der Zielorganisation zu gelangen, dann ist es nicht unwahrscheinlich, dass vereinzelte, datenschutzrelevante Dokumente nicht korrekt entsorgt werden, sondern einfach im Papiermüll landen. Einzelne Notizen auf Klebezetteln landen gern in Papierkörben. Sie können interessante Hinweise enthalten. Weiterhin sollte der Social Engineer insbesondere in der Nähe von Druckern (ggf. im Druckerraum) alle Papierkörbe durchsuchen, da dort oft Ausdrucke entsorgt werden, die nicht im gewünschten Format ausgedruckt oder aus anderen Gründen nicht mehr benötigt wurden. Dazu zählen E-Mail-Ausdrucke, Faxe, Netzwerk-Pläne und so weiter.

In allen verantwortungsbewussten Unternehmen finden sich entsprechende Schredder oder verschlossene Sicherheitscontainer, in denen datenschutzrelevante Dokumente entsorgt werden müssen. Aber nicht immer handeln Mitarbeiter entsprechend, sodass Dumpster Diving nicht selten von Erfolg gekrönt ist.

20.2.3   Piggybacking und Tailgaiting

‌Es ist immer wieder spannend zu beobachten, wie einfach es ist, in zahlreiche Unternehmensareale zu gelangen. Auch wenn es Vereinzelungsanlagen wie Drehkreuze oder gar sogenannte »Mantraps« (Luftschleusen bzw. doppelte Türen) gibt, so finden sich doch immer wieder Möglichkeiten, diese Sicherheitsmaßnahmen zu umgehen.

Unter Piggybacking (übersetzt: Huckepack nehmen) verstehen wir das Überzeugen eines legitimen Mitarbeiters, uns mitzunehmen und durch die Sicherheitsprüfung zu schleusen. Ein Szenario hierzu könnte sein, dass wir vorspielen, unsere Zugangskarte (Badge) verloren oder vergessen zu haben, und das Opfer bitten, uns über seine Karte mit hineinzulassen.

‌Dagegen gelangen wir mittels Tailgating (übersetzt: zu dichtes Auffahren) in den geschützten Bereich des Unternehmens ohne die explizite Genehmigung des Mitarbeiters, den wir als Gehilfen nutzen. In diesem Fall folgen wir einer autorisierten Person durch den Eingang. Wir können unsere Glaubwürdigkeit durch einen gefälschten Ausweis erhöhen. Oder aber wir haben die Hände voll und kommen gerade nicht an unsere Jackentasche, in der der Zutrittsausweis aufbewahrt ist. Im Endeffekt ist es jedoch die Höflichkeit des Opfers, die uns erlaubt, im gleichen Prüfgang durch die Sicherheitskontrolle zu gelangen, da der betreffende Mitarbeiter uns die Tür oder den Durchgang offenhält. Nicht selten ist auch das Reinigungspersonal so freundlich, den Mitarbeitern Zugänge aufzuhalten, ohne den Firmenausweis zu verlangen.

Darüber hinaus gibt es noch unzählige weitere Beispiele, um über dieses Prinzip Zugänge zu erhalten. Denken Sie auch an nicht so gut geschützte Bereiche wie den Zugang über die Tiefgarage, die Poststelle oder den Lieferanteneingang für die Kantine ...

In beiden Fällen greift der psychologische Mechanismus der Hilfsbereitschaft und Kollegialität. Erscheint der Social Engineer zudem besonders sympathisch und hilfebedürftig, so können auch weitere psychologische Elemente verstärkend wirken. Man möchte ja niemanden vor den Kopf stoßen und hilft einem in Not geratenen Kollegen doch gern weiter.

20.3   Computer Based Social Engineering

‌Im Bereich Computer Based Social Engineering geht es in der Regel darum, Account-Daten oder Kreditkarten-Daten einzusammeln, um damit auf die Konten des Opfers zugreifen zu können. Dazu werden verschiedene Ansätze genutzt. Sehr häufig werden Botnetze (von Roboter-Netze) dafür eingesetzt, um E-Mails an möglichst viele Empfänger zu versenden, wobei keine gezielte Auswahl getroffen wird. Anders verhält es sich bei den Spear-Phishing-Angriffen, wo zuvor ein einzelnes Ziel oder eine Gruppe von Personen identifiziert wird, um einen gezielten Angriff durchzuführen. In diesem Abschnitt betrachten wir die gängigen Varianten dieser Angriffsformen und zeigen Ihnen, mit welchen Tricks die Angreifer vorgehen.

20.3.1   Phishing

‌Das Wort »Phishing« ist abgeleitet‌ aus dem Wort »Fishing« (engl. für angeln). Das Ersetzen von »F« durch »Ph« ist eine Hacker-Tradition, die mit dem Phreaking (eine alte Form des Telefon-Hackings) begann. Im Englischen werden beide Schreibweisen gleich ausgesprochen. Was bedeutet »Phishing« nun? Beim Phishing versucht der Phisher (das ist der Angreifer) in der Regel, an sensible bzw. persönliche Daten des Opfers zu gelangen. Dies sind meistens entweder Login-Informationen oder Kreditkartendaten – im einfachsten Fall einfach eine valide E-Mail-Adresse. Dies wird durch gefakte E-Mails, Webseiten oder Kurznachrichten erreicht. In Abschnitt 20.1.2 haben wir ja bereits über Phishing-Mails berichtet.

Wie erfolgreich das Phishing ist, hängt davon ab, wie glaubwürdig die E-Mail bzw. Nachricht oder die Website und das Eingabeformular für die Daten sind. Häufig werden Bilder von der echten Webpräsenz eines Unternehmens genutzt, um die Glaubwürdigkeit zu erhöhen. In einigen Fällen sind Phishing-Mails und Phishing-Webseiten sehr einfach zu erkennen, in anderen Fällen erfordert dies einen Blick hinter die Kulissen. In Abschnitt 20.4.2 zeigen wir Ihnen in einem Praxisbeispiel, wie einfach es ist, eine Fake-Anmeldeseite zu erstellen.

20.3.2   Pharming

‌Das Pharming – zusammengesetzt aus‌ den Wörtern »Phishing« und »Farming« (engl. für Ackerbau) – ist eine Weiterentwicklung des klassischen Phishings und basiert darauf, DNS-Anfragen umzuleiten. Dabei wird häufig über einen Trojaner oder eine andere Malware die Namensauflösung manipuliert. So kann entweder über entsprechende Einträge in der hosts-Datei die Auflösung z.B. auf www.meine-bank.de so geändert werden, dass die Anfrage auf die IP-Adresse eines Servers des Angreifers aufgelöst wird oder die Einträge der DNS-Server in der IP-Konfiguration werden direkt von der Malware manipuliert. Somit wird jede DNS-Anfrage über einen vom Angreifer kontrollierten Nameserver aufgelöst, sodass Anfragen für Banking-Webseiten entsprechend umgelenkt werden können.

Die gefälschten Webseiten sind häufig täuschend echt imitiert, sodass sie rein optisch schwer vom Original zu unterscheiden sind. Ein effektiver Sicherheitsmechanismus ist hier HTTPS im Zusammenhang mit dem übermittelten SSL/TLS-Zertifikat. Dieses ist auf den Namen der aufgerufenen Webpräsenz (z.B. www.meine-bank.de) ausgestellt. Da der manipulierte Webserver jedoch unter normalen Bedingungen kein (weiteres) gültiges Zertifikat liefern kann, das auf www.meine-bank.de ausgestellt ist, erkennt der Browser in der Regel einen Zertifikatsfehler. Während in früheren Zeiten ein einfacher Klick des Benutzers ausgereicht hat, um die Browser-Warnmeldung zu ignorieren, muss der Benutzer bei den meisten aktuellen Browsern sehr viel expliziter zum Ausdruck bringen, dass er diese Webseite trotzdem anzeigen lassen möchte – wenn der Browser es überhaupt zulässt.

20.3.3   Spear Phishing

‌Jetzt wird es spannend! Während beim klassischen Phishing wahllos massenweise E-Mails an alle möglichen Empfänger versendet werden, fokussiert sich das Spear Phishing‌ gezielt auf einzelne Personen oder Organisationen – hier zählt Qualität statt Quantität! Dazu sammelt der Hacker oftmals zunächst möglichst umfangreiche Informationen über sein Opfer. Er ermittelt den Namen und die E-Mail-Adresse des Zielsubjekts, analysiert dessen Präsenz im Internet (Blog, Social-Media-Profile und so weiter) und versucht, möglichst viele Details über private Aktivitäten, berufliches Umfeld, Vorlieben und Abneigungen etc. zu recherchieren. Der Angreifer kann sich in vielen Fällen bereits ein umfassendes Bild aufgrund von Social-Media-Aktivitäten wie Posts und Likes verschaffen.

Tipp: Fake-Profile sind im Trend

Ein häufig zu beobachtender Ansatz ist, ein gefaktes Profil zu erstellen und damit Kontakt zum Opfer aufzubauen. Gelingt es dem Angreifer, in die Freundesliste des Opfers zu gelangen, werden in der Regel noch viel persönlichere Informationen zugänglich. In diesem Zusammenhang ist es oft schon hilfreich, Gruppen beizutreten, in denen das Opfer präsent ist und evtl. häufiger Nachrichten postet.

Aus den gesammelten Informationen wird eine entsprechende Kontaktaufnahme vorbereitet. Dies kann entweder über Social-Media-Kanäle passieren oder direkt über eine angepasste E-Mail. Diese muss glaubwürdig und vertrauenswürdig sein. Dazu werden möglichst viele Details eingebaut, die den Kontext unterstützen.

Hat das Opfer beispielsweise kürzlich bei Amazon oder eBay ein Produkt gekauft und dies auf Facebook oder in einem YouTube-Video erwähnt (vielleicht sogar in einem sogenannten »Unboxing-Video«), so kann der Angreifer eine glaubwürdige Mail von Amazon, eBay oder auch PayPal (die Wahrscheinlichkeit für diese Bezahlvariante ist hoch) erstellen und mit direkter Anrede und unter Nennung des Produkts mit entsprechenden Abbildungen inklusive Corporate Design die Mail so echt aussehen lassen, dass das Opfer ihrer Herkunft vertraut.

In dieser Mail wird ihm dann irgendeine Geschichte aufgetischt, die ihn dazu verleitet, entweder eine Software zu installieren (beispielsweise ein kostenloses »Update« der Software für die neue DSLR-Kamera) oder einen Link anzuklicken, um z.B. seine Zahlung über 15.467,32 Euro zu verifizieren. Da der Betrag viel zu hoch ist, wird hier ein großer Druck erzeugt, diesen Fehler schnell aufzuklären, sodass das Opfer mit einer gewissen Wahrscheinlichkeit darauf hereinfällt ...

Je nach Szenario sind jetzt folgende Situationen möglich:

Hinweis: Ein fetter Fisch!

‌Eine besondere Variante des Spear Phishings ist das Whaling. Das kommt vom englischen Begriff »whale« für Wal‌. Dabei hat der Phisher einen besonders »fetten Fisch« an der Angel, z.B. einen Geschäftsführer, Chief Financial Officer, einen Politiker oder eine andere Person, die Zugang zu vertraulichen Informationen mit hohem Wert hat.

Spear-Phishing-Angriffe sind deutlich schwerer aufzudecken, da sie individualisiert sind und daher meistens deutlich glaubwürdiger als klassische Phishing-Mails. Hier helfen insbesondere der gesunde Menschenverstand, ein gründlicher Blick und eine gute Portion Skepsis. Gegebenenfalls hilft auch eine Rückfrage per Mail oder Telefon.

20.3.4   Drive-by-Downloads

‌Diese Angriffsform ist im Grunde genommen die einfachste Variante des Computer Based Social Engineering. Es reicht aus, wenn das Opfer die manipulierte Webseite aufruft – mit welchen Mitteln das möglich ist, haben wir ja schon gezeigt. Der Angreifer hat die Seite so präpariert, dass beim Aufruf ohne weiteres Zutun Schadsoftware über den Browser auf dem Rechner des Opfers installiert wird. Dies wird als Drive-by-Download bezeichnet.

Bei einem Drive-by-Download werden Sicherheitslücken des Browsers ausgenutzt. Dies erfordert entweder veraltete Software oder eine Zero-Day-Schwachstelle.

Heutzutage kommunizieren der Browser und die Webseite häufig durch dynamische Technologien wie Java, JavaScript, Ajax oder Adobe Flash. Normalerweise laufen diese Technologien in einer sogenannten Sandbox ab und dürfen die abgesicherte Umgebung des Browsers nicht verlassen – zu Deutsch: Es ist keine direkte Interaktion mit dem Betriebssystem oder anderen Komponenten außerhalb des Browsers möglich. Fehler in der Implementierung dieser Sandbox-Technologie führen jedoch dazu, dass die Software aus der Sandbox ausbrechen kann. Dadurch wird es möglich, dass die Malware direkt auf dem Computer des Opfers installiert wird.

Dieses Problem wird immer größer – täglich kommen mehrere Tausend manipulierte Websites hinzu. Mittlerweile haben laut Wikipedia Drive-by-Downloads die E-Mails als hauptsächliche Verbreitungsmethode von Schadsoftware verdrängt oder zumindest weitgehend eingeholt.

Vor einigen Jahren gab es einen groß angelegten Angriff auf diverse namhafte Unternehmen, bei dem unter anderem Webpräsenzen von seriösen Entwickler-Plattformen gehackt und manipuliert wurden. Ahnungslose Entwickler der betreffenden Unternehmen gingen auf die Seiten und holten per Drive-by-Downloads Malware ins Unternehmen, wodurch die Angreifer in der Lage waren, massenhaft hochsensible Daten zu stehlen.

‌Dieses Vorgehen wird als Watering-Hole-Angriff bezeichnet. Abgeleitet von der Natur, wird ein »Wasserloch« infiziert, von dem bekannt ist, dass eine gewisse Zielgruppe sich daran bedient. Diese wird mit Schadcode ausgerüstet und trägt ihn in das entsprechende Unternehmen.

20.3.5   Gefälschte Viren-Warnungen

Vielleicht ist es Ihnen auch schon einmal passiert: Ganz plötzlich erscheint ein Popup-Fenster mit einer Viren-Warnung. Eine Sicherheitsanwendung hat diverse Malware bei Ihnen gefunden und fordert Sie nun auf, das entsprechende Bereinigungstool zu installieren. Wir hatten das bereits in Kapitel 12 Mit Malware das System übernehmen thematisiert und darauf verwiesen, dass es sich dabei im eigentlichen Sinn um einen Social-Engineering-Angriff handelt. Abbildung 20.3 zeigt eine derartige Meldung.

[Bild]

Abb. 20.3: Malware produziert gefälschte Viren-Meldung.

Tatsächlich wurde allerdings nichts entdeckt, alle angezeigten Funde sind Fake. Das angebotene Tool zum Löschen der Malware jedoch installiert tatsächlich Schadsoftware, sodass es sich sozusagen um eine selbsterfüllende Prophezeiung handelt.

Popups dieser Art können entweder über Trojaner als Programm bereits eingeschleust werden oder – häufiger – einfach über Browser-Funktionen beim Aufruf einer entsprechenden Webseite erzeugt werden. In der letzten Zeit hat sich eine Variante mit Angabe einer Telefonnummer ganz besonders hervorgetan. Das Opfer wird dazu aufgefordert, die angegebene Telefonnummer anzurufen und sich Hilfe zu holen. Tatsächlich meldet sich ein freundlicher Callcenteragent, der die Anfrage gleich zu einem Techniker weiterleitet. Das Opfer wird aufgefordert, zunächst eine Fernsteuerungssoftware zu installieren, damit der Techniker sofort helfen kann.

Im Anschluss verbindet sich der zuvorkommende Techniker (meist mit starkem Akzent) mit dem infizierten System und zeigt dem ahnungslosen Benutzer, welch »schlimme« Dinge auf seinem System passiert sind. Dazu ruft er Kommandos wie netstat -nap tcp auf, um zu zeigen, dass diverse Verbindungen zu Hacker-Systemen aufgebaut wurden (in Wirklichkeit normale Verbindungen eines Windows-Systems zu Update-Diensten und Ähnliches). Ein Blick in die Ereignisanzeige zeigt diverse Fehler- und Warnmeldungen (ganz normal bei Windows-Systemen), die der Support-Techniker dem (nicht vorhandenen) Virenbefall zuordnet. Darüber hinaus wird im Rahmen des Remote-Supports auch die Benutzerkonten-Datenbank verschlüsselt, sodass der Computer nach einem Neustart unbrauchbar wird. Das ist der Moment, wo der Spaß aufhört.

Der renommierte, deutsche AV-Hersteller G DATA hat sich vor einigen Jahren hierzu einmal als Opfer ausgegeben und das gesamte Telefonat als Video festgehalten. Das Video ist sehr sehenswert und unter dem Link https://www.youtube.com/watch?v=xNskW4RVbQY&t=4s bei YouTube verfügbar.

20.4   Das Social-Engineer Toolkit (SET)

‌Ein nützliches Tool, das Sie bei der Vorbereitung von Computer-Based-Social-Engineering-basierten Angriffen unterstützt, ist SET, das Social-Engineer Toolkit. Es basiert auf Python, ist auf Kali Linux vorinstalliert und stellt ein umfangreiches Framework für verschiedene Angriffsvarianten zur Verfügung. In diesem Abschnitt schauen wir uns SET einmal genauer an.

20.4.1   Einführung in SET

Über das Terminal öffnen Sie das SET-Toolkit über den Befehl setoolkit. Es benötigt Root-Rechte. Sie können SET aber auch über das Anwendungsmenü, wie auf Abbildung 20.4 dargestellt, starten. Dort finden Sie unter 08 – Exploitation Tools und ebenfalls unter 13 – Social Engineering Tools das Social Engineering Toolkit. Über diese Auswahl öffnet sich ein entsprechendes Terminal, in dem SET gestartet wird.

[Bild]

Abb. 20.4: SET über das Anwendungsmenü starten

Es startet analog zu Abbildung 20.5 ein vergleichsweise farbenfroher Dialog, der eventuell zunächst darauf hinweist, dass das Tool nicht aktuell ist.

[Bild]

Abb. 20.5: SET-Startbildschirm

Wer jetzt über den Menüpunkt 4) Update the Social-Engineer Toolkit ein Update vornehmen möchte, erhält nur den Hinweis, dass SET-Updates durch Kali Linux verwaltet werden. Möchten Sie das jetzt tun, können Sie über exit SET verlassen. Ein Update aller Tools auf die aktuelle Version im Repository können Sie normalerweise über folgenden Befehl durchführen:

apt update && apt upgrade

Sollte die neueste Version von SET nicht in den Paketlisten aufgeführt sein, so ist ein Download von https://github.com notwendig. Dies können Sie inklusive Ersetzens der alten Bestandsversion folgendermaßen durchführen:

git clone https://github.com/trustedsec/social-engineer-toolkit/ set/
cp -r set/ /usr/share/

Dies jedoch nur zur Information, für den Einstieg ist das nicht notwendig. Damit hätten wir zumindest aber den Menüpunkt 4 schon mal geklärt – check!

Tatsächlich spielt die Musik größtenteils im Menüpunkt 1) Social-Engineering Attacks. Hier finden Sie diverse Varianten und Spielarten des Computer Based Social Engineerings. Abbildung 20.6 zeigt die Auswahlmöglichkeiten dieses Menüs.

[Bild]

Abb. 20.6: Diverse Social-Engineering-Angriffe

Hinter den einzelnen Menüpunkten verstecken sich teilweise zahlreiche weitere Auswahlmöglichkeiten. SET arbeitet hier Hand in Hand mit Metasploit, um beispielsweise bestimmte Dateien oder Medien zu erstellen, die Exploits enthalten. Wundern Sie sich also bitte nicht, wenn Sie die eine oder andere Vorgehensweise wiedererkennen.

20.4.2   Praxisdemonstration: Credential Harvester

Mit SET sind ausgefeilte Social-Engineering-Angriffe möglich. An dieser Stelle wollen wir Ihnen in einem Proof-of-Concept-Ansatz einmal zeigen, wie einfach es grundsätzlich ist, Login-Daten zu sammeln. Dazu werden wir gemeinsam die Facebook-Login-Seite faken und eine E-Mail verfassen, in der wir im Rahmen eines Spear-Phishing-Angriffs vortäuschen, ein Kollege des Opfers zu sein.

Hinweis: Rechtlicher Schutz von Webseiten

Mal davon abgesehen, dass dieser Angriff unter den Hackerparagrafen fällt und nur zu Demonstrationszwecken in einer eigenen Laborumgebung nachgestellt werden darf, so ist auch das Klonen von Webseiten ggf. urheberrechtlich oder durch das Markenrecht geschützt und damit ebenfalls verboten.

Zunächst erstellen wir die gefakte Anmeldeseite. Hierzu wählen Sie aus der Rubrik 1) Social-Engineering Attacks den Angriff 2) Website Attack Vectors. Im nun folgenden Menü wählen Sie 3) Credential Harvester Attack Method. Nun können Sie zwischen einem vorgefertigten Web-Template, dem Site Cloner oder einer eigenen, importierten Seite wählen. Wir möchten an dieser Stelle eine Website klonen, also wählen Sie 2) Site Cloner.

Nun müssen Sie die IP-Adresse angeben, an die die Informationen gesendet werden sollen, die der Benutzer in den Login-Feldern der Webseite eingibt. Dies ist die IP-Adresse Ihres Kali-Linux-Systems. Ebenso ist die URL der Webseite, die geklont werden soll, anzugeben. Dies soll in diesem Beispiel https://www.facebook.com sein. Anschließend wird auf dem Kali Linux auf Port 80 ein Apache-Webserver gestartet, der die geklonte Webseite bereitstellt. SET wartet nun auf Eingaben auf der Webseite, die per HTTP-POST-Methode an die genannte IP-Adresse gesendet werden, siehe Abbildung 20.7.

[Bild]

Abb. 20.7: Die Falle ist aufgestellt, nun heißt es warten, bis die Maus anbeißt ...

Lassen Sie das SET-Fenster unbedingt geöffnet, da hier gleich die Login-Daten (engl. Credentials) angezeigt werden. Damit dies passiert, müssen wir nun unser Opfer dazu bringen, auf die von uns manipulierte Webseite zuzugreifen.

Hier kommt das Spear Phishing ins Spiel: Da wir durch unsere Recherche bereits einiges über unsere Zielperson (nennen wir sie Axel Ahnungslos) in Erfahrung gebracht haben, wissen wir auch, dass er eine Kollegin namens Tanja Tutmirnix hat, die mit ihm gemeinsam kürzlich auf dem Abteilungs-Event im Hochseilgarten war. Weiterhin wissen wir, dass sie bereits einige Bilder von dem Event auf Facebook gepostet hat.

Wir schreiben ihm also eine Mail mit dem gefakten Absender t.tutmirnix@mycompany.tld (die Absender-Adresse muss passen, damit das Opfer sie als gültig erkennt!) und einem passenden Betreff inklusive Link auf unsere gefakte Login-Seite:

Betreff: Bilder Hochseilgarten am 25. Juli

Hallo Axel,

war ein tolles Event, hätte ich gar nicht erwartet. An einigen Stellen ist mir aber schon etwas mulmig da oben geworden :-)).

Ich habe ein paar Bilder bei Facebook gepostet, schau sie dir doch mal an:

https://www.facebook.com/tanjatutnix/status/143543543667648/photo/1

Liebe Grüße,

Tanja

Hinter dem Link verstecken wir natürlich die URL zu unserer gefakten Webseite. Dank HTML ist dies kein Problem.

Tipp: Weibliches Personal involvieren

Weibliche Personen wirken übrigens oft vertrauenswürdiger! Die meisten Menschen – insbesondere Männer – vertrauen eher einer weiblichen Person als einer männlichen. Falls möglich, involvieren Sie also »weibliches Personal« in Ihre Social-Engineering-Angriffe. Dies gilt z.B. auch und insbesondere bei persönlichem Kontakt, wie z.B. Telefonanrufen. Wir hatten das weiter vorn in diesem Kapitel ja bereits thematisiert.

Bevor uns jetzt jemand Sexismus vorwirft: Im Dezember 2009 hat der IT-Experte Thomas Ryan eine Kunstfigur namens Robin Sage als Social-Media-Profil auf verschiedenen Plattformen ins Leben gerufen – eine junge Dame, deren gefakter Lebenslauf sie als 25-jährige Cyber-Threat-Analystin auswies – die Bilder des Profils stammten übrigens von einer Porno-Website.

In nur einem Monat gelang es Ryan, über dieses Profil Kontakt zu rund 300 Personen aus dem US-Militär, der Regierung und regierungsnahen Institutionen aufzubauen und viele sensible Daten zu erhalten. Bereits im Januar löschte er diesen Fake-Account und berichtete später auf einer Sicherheitskonferenz in Las Vegas über die Ergebnisse – unter dem Titel: »Getting in bed with Robin Sage«.

Zurück zu unserem Szenario. Klickt Axel nun also auf unseren Link, wird er auf unseren Webserver mit der gefakten Webseite geleitet. Abbildung 20.8 zeigt die geklonte Seite im Browser des Opfers.

[Bild]

Abb. 20.8: Die falsche Webseite sieht täuschend echt aus.

Nach der Eingabe wird der Benutzer tatsächlich zu Facebook weitergeleitet. War er in diesem Browser ohnehin schon bei Facebook angemeldet, sieht er sogar ganz regulär seinen Startbildschirm, ansonsten wird er erneut aufgefordert, sich anzumelden – dieses Mal auf der richtigen Webseite, da sind wir aber bereits aus dem Spiel. Ein weniger kritischer Anwender wird sich an dieser Stelle wundern und vermutlich einfach erneut seine Daten eingeben. Im Hintergrund hat SET nun allerdings die Credentials eingesammelt und zeigt diese wie auf Abbildung 20.9 an.

Der Credential Harvester läuft übrigens beliebig lang weiter, bis Sie ihn mit Strg+C abbrechen.

Tipp: Web-Templates ausprobieren

SET bietet mit der Menüoption Web Templates zudem die Möglichkeit, eine Anmeldeseite für Twitter oder Google bereitzustellen, testen Sie es aus!

Vermutlich haben Sie in unserem kleinen Szenario allerlei kleinere und größere Schwachpunkte entdeckt, die dazu führen können, dass dieser Angriff fehlschlägt. So ist es z.B. erforderlich, dass der Fake-Server sich im selben Netzwerk wie das Opfer befinden muss. Soll der Angriff auch über das Internet funktionieren, sind weitere Schritte notwendig.

[Bild]

Abb. 20.9: SET hat die Login-Daten gesammelt.

Aber andererseits zeigt dieses Proof-of-Concept-Szenario sehr schön, wie einfach es sein kann, die Login-Daten einer Person abzugreifen. Diese Art von Angriff wird auch allgemein als Identitätsdiebstahl bezeichnet, da wir anschließend die Identität des Betreffenden annehmen und in seinem Namen handeln können – im Rahmen der Anwendung, für die wir uns angemeldet haben.

20.4.3   Weitere Angriffe mit SET

Wie Sie vielleicht schon gesehen haben, bietet Ihnen SET sehr viele Möglichkeiten, einen Social-Engineering-Angriff vorzubereiten und durchzuführen. An dieser Stelle präsentieren wir Ihnen noch eine kleine Zusammenstellung ausgewählter Angriffe, die Sie mit SET durchführen können:

Natürlich ist diese Übersicht nicht abschließend. Es gibt zahlreiche weitere Angriffsformen, die Sie mit SET umsetzen können. SET ist ein wichtiges und sehr umfangreiches Werkzeug, das in jeden Pentester-Werkzeugkasten gehört.

‌Es gibt auch noch eine Vielzahl weiterer Tools für diesen Themenbereich. Sehr interessant ist unter anderen auch evilginx2, ebenfalls ein Tool, um Anmeldedaten abzufangen. Damit können Sie sogar eine 2F-Authentifizierung umgehen. Mehr Informationen zu evilginx2 finden Sie auf der entsprechenden GitHub-Seite: https://github.com/kgretzky/evilginx2.

Unser Tipp, wie fast immer an dieser Stelle: Seien Sie neugierig, beschäftigen Sie sich mit diesen Werkzeugen und werden Sie dadurch zu einem fähigen Social Engineer im Bereich des Computer Based Social Engineering!

20.5   So schützen Sie sich gegen Social-Engineering-Angriffe

Hier ist guter Rat teuer! Bruce Schneier wagt sogar die Behauptung, es gäbe keinen effektiven Schutz gegen Social-Engineering-Angriffe, und empfiehlt, sich auf schnelle Recovery-Maßnahmen zu konzentrieren, um die Schäden zu minimieren.

So weit wollen wir jetzt nicht gehen – aber tatsächlich ist es schwer, gut getarnte Angriffe zu verhindern, da hier grundsätzlich positive menschliche Eigenschaften ausgenutzt werden: Vertrauen, Hilfsbereitschaft, Fairness, guter Wille und so weiter. Darüber hinaus sind Angst und Gier starke Emotionen, gegen die die Vernunft nur schwer ankommt.

Und damit sind wir eigentlich schon bei der stärksten Waffe gegen Social Engineering angekommen: die menschliche Intelligenz. Oftmals reichen schon wenige prüfende Handlungen, um den Angriff zu enttarnen. Einige wenige Nachfragen und schon fällt das Kartenhaus des Human Hackers in sich zusammen. Betrachten wir ein paar gängige Szenarien.

(Spear) Phishing

Die Kontaktaufnahme erfolgt durch E-Mails, Kurznachrichten per Messenger oder andere Kommunikationsmöglichkeiten via Social-Media-Kanälen oder Blog-Beiträgen. Hier ist Folgendes zu beachten:

Persönliche Kontaktaufnahme

Steht jemand direkt vor Ihnen und interagiert von Angesicht zu Angesicht mit Ihnen, ist es besonders schwer, auf unangemessene Aufforderungen passend zu reagieren. Dazu zählt z.B. das Tür-Aufhalten beim Eingang in gesicherte Bereiche oder die Herausgabe von sensiblen Daten, wenn scheinbar eine Autorität wie z.B. ein Polizist oder ein Vorgesetzter vor einem steht.

Hier heißt es kühlen Kopf bewahren und höflich, aber bestimmt nachzuhaken. So könnten Sie z.B. den gehetzt wirkenden »Kollegen«, der mit Ihnen zusammen durch eine Tür zu einem gesicherten Bereich möchte, zunächst höflich fragen, wer er denn genau sei und zu wem er wolle. Im Zweifel sollte er sich eben noch einmal selbst durch den vorgesehenen Mechanismus authentifizieren. Ein echter Mitarbeiter wird für ein solches Vorgehen in aller Regel Verständnis aufbringen.

Setzt Sie eine vorgebliche Autoritätsperson unter Druck, haken Sie ebenfalls durch Rückfragen nach. Im Zweifel kontaktieren Sie Ihren eigenen Vorgesetzten oder involvieren Sie einen bekannten Kollegen. Lassen Sie sich den Dienstausweis zeigen. Wichtig ist es, Zeit zu gewinnen, um den Verstand einschalten zu können.

Bei entsprechender Geistesgegenwart können Sie dem Gegenüber auch eine Fangfrage stellen. Wenn er sich z.B. als Mitarbeiter eines bestimmten Teams ausgibt, fragen Sie ihn, ob es einem fiktiven, nicht existenten Kollegen aus diesem Team mittlerweile wieder besser geht. Die Antwort spricht dann für sich.

Telefonische Kontaktaufnahme

Hier gelten grundsätzlich dieselben Spielregeln wie bei der persönlichen Kontaktaufnahme: Geben Sie niemals persönliche oder vertrauliche, geschäftliche Informationen am Telefon heraus – erst recht keine Anmeldedaten! Aber auch E-Mail-Adressen oder Namen von Mitarbeitern oder Vorgesetzten sollten Sie nicht nennen.

Lassen Sie sich nicht durch angebliche Ereignisse wie z.B. eine dramatische Störung des Betriebsablaufs aufgrund eines Virenausbruchs verunsichern. Je höher der Druck ist, den jemand auf Sie aufzubauen versucht, desto ruhiger sollten Sie reagieren. Prüfen Sie, fragen Sie nach, sichern Sie sich durch Rücksprache mit anderen Kollegen ab.

Webbasierende Angriffe

Durch Links in E-Mails oder anderen Nachrichten, DNS-Umleitungen oder XSS-Angriffen (siehe Kapitel 23 Web-Hacking – Grundlagen) landen Sie mitunter auf manipulierten Webseiten. Die Abfrage von Credentials, wie in unserem Workshop in diesem Kapitel gesehen, ist nur eine mögliche Angriffsvariante – oftmals ist es da aber auch schon zu spät! Durch Drive-by-Downloads muss das Opfer gar nicht aktiv werden, damit sein Computer mit Malware verseucht wird, sofern der Browser Schwachstellen offenbart.

Hier sind mehrere Ansätze zum Schutz möglich:

  1. Die Konfiguration des Browsers sollte möglichst wenige dynamische Technologien zulassen – insbesondere Adobe Flash wird mittlerweile als hochkritisch eingestuft und die Technologie wird von Adobe nicht mehr weiterentwickelt. Dedizierte und bekannte Webpräsenzen, die spezielle Technologien wie Java-Applets, ActiveX, Flash etc. benötigen, können explizit als vertrauenswürdig eingestuft werden, wobei natürlich ein Restrisiko bestehen bleibt, sollten diese Webpräsenzen gehackt werden ...

  2. Browsererweiterungen, wie beispielsweise NoScript für Firefox, können aktive Inhalte und weitere Web-Techniken mit Gefahrenpotenzial blockieren.

  3. Den Browser sollten Sie nicht mit Administrationsrechten starten.

  4. Der Browser sollte stets aktuell gehalten werden, Sicherheitsupdates sollten zeitnah eingespielt werden – dies hilft jedoch nicht gegen sogenannte »Zero-Day-Exploits«, bei denen der Angriff erfolgt, bevor die Schwachstelle bekannt und gefixt wurde.

  5. Der Benutzer sollte vor dem Besuch einer Seite prüfen, ob diese vertrauenswürdig ist. Sie könnten die Seite in einer Sandbox öffnen und ggf. genauer analysieren. Dies ist in der Praxis oft leichter gesagt als getan, stellt aber eine weitere Sicherheitsmaßnahme dar. Hier bietet es sich ggf. an, ein Programm wie Sandboxie zu verwenden (siehe Kapitel 13 Malware-Erkennung und -Analyse).

  6. In einfachen Fällen hilft auch ein einfaches Mouseover auf Links, um zu erkennen, auf welche Seite man nach einem Klick weitergeleitet wird. Hier ist eine genaue Prüfung der URL notwendig.

  7. Mittels Application-Layer-Gateways (Proxy-Server) können Webseiten zunächst geprüft werden, bevor die Inhalte an den Browser des Clients weitergeleitet werden. Hier können auch explizite Sandboxing-Verfahren eingesetzt werden.

Sie merken vermutlich schon, dass webbasierende Angriffe eher technischer Natur sind und nur mittelbar in den Bereich Social Engineering fallen. Dennoch gilt auch hier, dass aufmerksame Benutzer und Mitarbeiter sich selbst und ihr Unternehmen oftmals vor großem Schaden bewahren können, wenn der gesunde Menschenverstand rechtzeitig eingeschaltet wird und einige grundlegende Regeln beachtet werden.

20.6   Zusammenfassung und Prüfungstipps

Werfen wir wieder einen Blick zurück: Was haben Sie gelernt, wo stehen Sie und wie geht es weiter?

20.6.1   Zusammenfassung und Weiterführendes

Mit Social Engineering erhalten Angreifer eine Waffe, gegen die es kein Patentrezept gibt. Social Engineering ist nicht vergleichbar mit irgendeiner anderen Technologie in diesem Buch. Tatsächlich basiert Social Engineering ja auch gar nicht auf einer Technologie im eigentlichen Sinne, sondern auf psychologischen Mechanismen und der Schwachstelle »Mensch«.

Der Mensch ist auch in einem Computersystem immer die wichtigste Komponente und deren größter Schwachpunkt. Über die vorgestellten psychologischen Ansätze ist es oftmals sehr einfach, bestimmte menschliche Verhaltensweisen auszunutzen, um – ganz ohne technisches Wissen – an vertrauliche Informationen zu gelangen, mit denen der Social Engineer, also der Hacker, in das Zielnetzwerk oder -system einbrechen kann.

Sie haben in diesem Kapitel gelernt, dass es Human Based Social Engineering gibt, bei dem wir uns voll auf die menschliche Komponente konzentrieren und, abgesehen von regulären Anwendungen wie Social-Media-Plattformen oder Telefonen, keine Technologie nutzen.

Mit dem Computer Based Social Engineering nutzen wir verschiedene Technologien und Anwendungen, um zum Ziel zu gelangen. Beim Phishing sind es meist die Mails, die das Opfer dazu verleiten sollen, auf einen Link zu klicken, um dort Zugangsdaten oder Kreditkarten-Informationen zu hinterlassen. Das Pharming nutzt DNS-Umleitungen und im Spear Phishing konzentrieren wir uns ganz gezielt auf einzelne Personen.

Drive-by-Downloads können in diesem Zusammenhang genutzt werden, um über Browser-Schwachstellen automatisiert Malware auszubringen, wenn ein Benutzer auf die infizierte Webseite surft. Eine Variante hierzu sind die gefakten Viren-Meldungen als Popups, die dazu auffordern, entweder eine Software herunterzuladen, um die Viren zu beseitigen (die in Wirklichkeit natürlich selbst Malware ist), oder aber eine Telefonnummer angeben, unter der das Opfer Hilfe bekommen soll – per Remote-Einwahltool mit entsprechendem Vollzugriff durch den Angreifer.

Das Social-Engineer Toolkit (SET) enthält zahlreiche Möglichkeiten, den Hacker bei Angriffen auf dem Social-Engineering-Angriffsvektor zu unterstützen. Sie haben am Beispiel eines Credential-Harvesters gesehen, wie das Tool arbeitet.

Der Schutz gegen Social Engineering ist in erster Linie darauf ausgerichtet, das Gehirn einzuschalten und den gesunden Menschenverstand zu aktivieren und vor allen Dingen skeptisch zu bleiben. Sensibilisierung ist hier das Zauberwort. Seien Sie kritisch und schulen Sie Ihre Kollegen bzw. die betreffenden Mitarbeiter entsprechend, sodass diese Social-Engineering-Angriffe einfacher erkennen können.

20.6.2   CEH-Prüfungstipps

Das Thema Social Engineering ist wenig technisch. Stellen Sie sich auf Fragen ein, die darauf abzielen, Ihr Verständnis über die Systematik und Begriffe im Social Engineering zu prüfen. Machen Sie sich über die Zusammenhänge zwischen den Angriffen und entsprechenden Verteidigungsmaßnahmen Gedanken. Suchen Sie nach Beispielen im Internet und studieren Sie diese. Das Thema Social Engineering ist kein Schwerpunkt in der Prüfung, sollte jedoch verstanden worden sein.

20.6.3   Fragen zur CEH-Prüfungsvorbereitung

Mit den nachfolgenden Fragen können Sie Ihr Wissen überprüfen. Die Fragestellungen sind teilweise ähnlich zum CEH-Examen und können daher gut zur ergänzenden Vorbereitung auf das Examen genutzt werden. Die Lösungen zu den Fragen finden Sie in Anhang A.

  1. Sie erhalten eine E-Mail von PayPal, in der Sie darüber informiert werden, dass Ihr Account deaktiviert wurde und eine Bestätigung für die Reaktivierung notwendig ist. Die E-Mail enthält einen Button, der zu einem Online-Formular führt, auf dem einige persönliche Informationen abgefragt werden. Unbedarfte Computernutzer fallen unter Umständen auf diese Masche herein. Welche der folgenden Verhaltensweisen bzgl. dieses Angriffs ist falsch?

    1. Nicht auf E-Mails antworten, die persönliche Informationen verlangen

    2. Regelmäßig Bankkonto- und Kreditkartenabrechnungen überprüfen

    3. Trauen Sie keinen Telefonnummern aus E-Mails oder Popups.

    4. Virenschutz und Anti-Spyware-Software bieten einen guten Schutz bei dieser Art von Angriffen.

  2. Ein Mann steht vor dem Sicherheitszugang der IT-Abteilung. Er gibt vor, ein angespanntes Gespräch auf seinem Handy zu führen, während sich ein Mitarbeiter mit Dienstausweis am Zugangscontroller authentisiert und den Bereich betritt. Der Mann greift, während er noch telefoniert, nach der Tür. Was ist gerade passiert?

    1. Masquerading

    2. Whaling

    3. Tailgating

    4. Phishing

  3. Welche der folgenden Aussagen beschreibt Social Engineering im Kontext der Computersicherheit am besten?

    1. Social Engineering ist die Veröffentlichung von Personalinformationen im Internet.

    2. Social Engineering ist ein Tool, das von der Personalabteilung zur Stundenabrechnung eingesetzt wird.

    3. Social Engineering ist ein Vorgang, bei dem die benötigten Informationen einer Person entlockt werden, anstatt in ein System einzudringen.

    4. Social Engineering ist ein Studiengang für Soziologie.

  4. Die Firma Specter & Partner entdeckte kürzlich, dass ihr neues Produkt vor der Premiere von einem Konkurrenten veröffentlicht wurde. Sie wandten sich daraufhin an einen Ermittler. Dieser hat herausgefunden, dass der Reinigungsdienst Papiere mit vertraulichen Informationen über das neue Projekt aus Unachtsamkeit entsorgt hat und die Konkurrenz diese Dokumente im Müll gefunden hat. Wie heißt die Technik der Informationsbeschaffung, die offensichtlich vom Konkurrenten angewendet wurde?

    1. Dumpster Diving

    2. Hack Attack

    3. Sniffing

    4. Spying

  5. Worin besteht der Unterschied zwischen Phishing und Spear Phishing?

    1. Spear Phishing ist aggressiver als normales Phishing. Dem Opfer wird gedroht, um Zugangsdaten zu erhalten.

    2. Spear Phishing versucht im Gegensatz zu normalem Phishing, dem Opfer ganz bestimmte Zugangsdaten zu entlocken. Normales Phishing versucht, beliebige Daten zu erschleichen.

    3. Spear Phishing ist die technische Weiterentwicklung des normalen Phishings.

    4. Spear Phishing zielt auf bestimmte Opfer ab, die möglichst glaubwürdig und persönlich angeschrieben oder kontaktiert werden.