OS-aware phishing: één mail, drie verschillende aanvallen

Beveiligingsbedrijf KnowBe4 waarschuwt voor een nieuwe generatie phishing die zich automatisch aanpast aan het apparaat van het slachtoffer. Bij deze zogeheten OS-aware phishing bepaalt jouw besturingssysteem welke aanval je krijgt voorgeschoteld. Windows-gebruikers krijgen malware, Apple-gebruikers een nagemaakte inlogpagina en Android- of Linux-gebruikers weer iets anders. Eén e-mail, drie verschillende aanvallen.

Het begint met een nep-melding van iCloud

De campagne start met een overtuigende e-mail die zich voordoet als een beveiligingsmelding van iCloud. Klik je op de link, dan detecteren de aanvallers binnen milliseconden welk besturingssysteem je gebruikt. Daarna word je automatisch doorgestuurd naar het scenario dat bij jouw apparaat past.

Bij Windows wordt stiekem een remote management-tool geïnstalleerd. Daarmee kan een aanvaller volledige toegang tot het systeem krijgen. Apple-gebruikers belanden op een nagemaakte iCloud-inlogpagina die alleen bedoeld is om inloggegevens te stelen. Gebruikers van Android of Linux krijgen een valse Microsoft-aanmeldpagina te zien, waarbij de aanvaller in realtime meekijkt. De ingetypte gegevens komen direct binnen in een Telegram-kanaal van de criminelen.

Ruim 250 slachtoffers in 48 uur

Onderzoekers van KnowBe4 Threat Labs telden binnen 48 uur al meer dan 250 bevestigde slachtoffers. Van de 157 slachtoffers waarvan de locatie kon worden vastgesteld, zaten er 150 in de Verenigde Staten. Dat betekent niet dat Nederland buiten schot blijft. Dit soort phishingkits wordt doorverkocht en binnen enkele weken opnieuw ingezet, dan met Nederlandse teksten en bekende Nederlandse merken.

James Dyer, Head of Threat Intelligence bij KnowBe4, stelt dat één e-mail tegenwoordig meerdere aanvalsscenario’s kan bevatten en zich in realtime aanpast aan het apparaat van het slachtoffer. Volgens hem combineren criminelen overtuigende social engineering met technieken die beveiligingssoftware bewust proberen te omzeilen.

Waarom spamfilters deze mail missen

De aanvallers gebruiken een keten van redirects via een vertrouwd domein van een financiële instelling. Daarnaast zit er uitgebreide anti-botbescherming in de campagne. Een scanner van een e-mailfilter krijgt daardoor een onschuldige pagina te zien, terwijl een echte bezoeker wél wordt doorgestuurd naar de aanval. Het filter ziet dus nooit waar de link eigenlijk op uitkomt.

Die aanpak past in een bredere trend. Eerder schreven we al over text salting, waarbij verborgen tekst in de e-mail AI-spamfilters om de tuin leidt. Criminelen richten hun pijlen steeds vaker op de detectie zelf in plaats van op het slachtoffer.

Wat dit betekent voor Nederlandse gebruikers

Phishing is in Nederland allang geen randverschijnsel meer. De betaalfraude steeg vorig jaar met 30 procent, met phishing als grote boosdoener. Tegelijk laat het Anti Phishing Shield van het NCSC zien dat blokkeren op linkniveau werkt, want dat systeem voorkwam al meer dan twee miljoen bezoeken aan kwaadaardige sites.

Het probleem is dat criminelen hun doelwitten steeds beter kennen. Na elk datalek volgt een golf van gerichte mails, zoals bij het recente datalek bij bol en De Bijenkorf. Voeg daar een aanval aan toe die weet of je op een iPhone of een Windows-laptop zit, en de slagingskans wordt een stuk groter.

Twijfel je over een e-mail? Op de pagina met actuele valse e-mails van de Fraudehelpdesk staat dagelijks een overzicht van rondgaande phishingmails.

Zo bescherm je jezelf tegen OS-aware phishing

• Klik niet op links in beveiligingsmeldingen. Ga zelf naar icloud.com, microsoft.com of je bank via je browser of app.
• Let op onverwachte downloads. Vraagt een “beveiligingscontrole” je om software te installeren, dan is het foute boel.
• Gebruik phishingbestendige tweefactorauthenticatie, bij voorkeur passkeys of een hardwaresleutel. Een sms-code is met realtime meekijken zo omzeild.
• Houd je besturingssysteem en browser bij. Veel van deze aanvallen leunen op oude, bekende zwakke plekken.
• Meld verdachte mails. Markeer ze als spam en meld ze bij de Fraudehelpdesk, zodat filters sneller leren.

Ook op je telefoon opletten

Veel mensen openen e-mail vooral op hun smartphone. Juist daar zie je de volledige link vaak niet en is een nagemaakte inlogpagina lastiger te herkennen. Bij OS-aware phishing is dat precies het punt: de aanval is speciaal voor jouw scherm gemaakt. Neem bij twijfel de moeite om de mail later op een groot scherm te bekijken, of controleer de afzender via een ander kanaal.