Mare atentie la renewals

Tocmai era sa mi-o fur prin urmatoarea metoda (mi-am dat seama in ultimul moment din neatentie):

Atacatorul alege un domeniu interesant, detinut de un user care are putine domenii inregistrate pe numele lui (reverse whois probabil) - eu am primit doar pe un mail asociat cu o singura adresa de WHOIS. Apoi, cand data de expiry se apropie, trimite un mail de forma "Domeniul tau x.com mai are 45 de zile pana la expirare. Il poti reinnoi aici: www.link catre adevarata companie unde ai inregistrat domeniul.com.

Numai ca linkul din spate (ancora e www.dynadot dot com sa zicem) e altul. Siteul insa arata complet identic. Daca bagi user+parola probabil se logheaza undeva si ramai fara domenii. Daca dai plata direct din linkul din mail, probabil ramai fara bani pe card. Siteurile se tot schimba. Si sunt domenii .co cam toate cu un singur spell. Gen o litera dublata.

UPDATE:

Pe o alta adresa de mail am primit ceva si mai interesant. Atasez mesajul numarul 2 (aici avem alt tip, cu factura proforma atasata facuta pe datele mele reale de whois).

Title: Domain Expiration - www.domeniulmeu.com

Attention: Important Notice

Domain Name to Renew: DOMENIULMEU.COM
Bill To: Invoice # 1301376232
Invoice Date Apr 22, 2011
DATELE MELE REALE DIN WHOIS
SECURE ONLINE PAYMENT -> Linkul duce aici newdomainregis.com


Domain Name Registration Price Term
DOMENIUL MEU.COM Mar 28, 2011 - Mar 28, 2012 $7.50 1 Year

Failure to complete may result in the cancellation of this offer (making it difficult for your customers to locate you using search engines on the web).
Your registration includes search engine submission.

For Domain Name:
DOMENIULMEU.COM
SECURE ONLINE PAYMENT (asta e un link)


Scris mic in antet: This is a solicitation. Domain Registration Services is not a domain name registrar and does not provide URL registrations, web hosting or email services. Domain Registration Services is a search engine ranking and submission service firm.





Pagina de landing arata asa (nu zice decat de domain renewals asta):


Invoice Details
Domain Name: DOMENIULMEU.com BILL# APR-010-837-311
Invoice Date: 22-April-2011
Bill To: Domain Owner
Attn: Domain Owner

DATELE CORECTE DE WHOIS (ADICA ADRESA SI TOT)

Domain Name
Registration Period
Price
Select Term
DOMENIULMEU.com 04/22/2011-04/22/2012 $75.00 1 Year
DOMENIULMEU.com 04/22/2011-04/22/2013 $135.00 10% Savings 2 Years
DOMENIULMEU.com 04/22/2011-04/22/2016 $280.00 25% Savings 5 Years
DOMENIULMEU.com 04/22/2011-04/22/2021 $450.00 40% Savings 10 Years
Secure Online Payment (128 Bit Secure)
Please enter your credit card information to submit your order

Name on Card:


Credit Card Number: CVV:

Expiration Date:



http://www.economie.ro/wtf.png

PS. Il mai las o zi lipicios dupa care il deselectez sa nu se supere cineva ca apare in antet.

Thanks for sharing. Se pare ca phishing-ul nu are frontiere.
Nu lasati garda jos. Un moment de visare te costa foarte scump

Mereu sunt atent la chestiile astea, deja mi-am format un reflex anti phishing , sunt destul de mandru de chestia asta (da, paranoia ajuta :)) )

cateva reguli ajuta de asemenea

1. Nu fac plati seara dupa 10 (s-ar putea sa fiu obosit si sa fac multe tampenii)
2. Daca vine mailuri de genul acesta notez in calendar cand expira domeniu, dar nu intru dupa linkurile din el, niciodata nu sar cu plata ca a venit un mail,

3. Nu e cea mai secure metoda dar eu nu stiu parolele. asa ca daca intru pe un site de phising nu o sa ma pot loga. Le am salvate in browser asa ca doar pe siteul care trebuie ma pot loga. Altfel e un intreg proces de retrimitere a parolei, atat de complicat incat daca mai sunt 2 saptmaani pana expira un domeniu mai mult ca sigur o las balta.

Sfatul nr. 1 general in domeniul phishing: NICIOADATA nu intrati pe site-ul de la care credeti ca primiti mail-ul dand click pe link-ul din mail.

A, mi-a venit mail de la banca/registar/gmail/etc, ok, deschid frumos browser-ul tastez numele bancii/registarului/mail-ului, ma loghez... etc. Valabil si pentru situatia de mai sus.

Zone, si daca ai un virus care iti mapeaza URL-ul la alt IP? Gen modifica fisierul hosts :D?

A? do you speak Romanian? :) Sincer, n-am inteles.

A vrut sa spuna ca daca un virus iti modifica fisierul hosts (in windows) esti redirectionat de catre windows la adresa modificata de acolo (din fisierul hosts din windows/system32/drivers/etc).

Aham, cu alte cuvinte spune ca exista si alte metode de a ti se fura parolele. Clar. Doar ca virusul care modifica hosts nu prea intra in categoria phishing.

Legat de virusi presupun ca ai un AV cu semnaturi la zi... asa, poti sa-ti spui ca o metoda de furat parola e sa-ti dea una in cap si gata ;).

Apropo de hosts, acum am vazut ca nu se schimba domeniul. Asta inseamna ca poti sta o zi intreaga pe un site crezand ca esti in alta parte (daca link-urile dinacel site sunt relative).