Phishing Tutorial by Becks

[PicUP]

                        Phishing Tutorial by Becks

Da Sie dieses Tutorial lesen, gehe ich davon aus, dass Sie sich mit Phishing beschäftigen möchten.
Vorab sei folgendes gesagt, Phishing ist gesetzwidrig und kein „Kavaliersdelikt“. Man sollte sich im
Klaren sein, was man tut und das man anderen Menschen schadet.

Aber genug der moralischen Belehrung, kommen wir zu dem Thema, was dieses „E-Book“ beinhaltet
 Phishing.

Vorab muss allerdings gesagt werden, dass Sie wissen sollten wie man sich möglichst Anonym im
WWW (WorldWideWeb) bewegt und nichts auf sich zurückführen lässt.

Ich werde in den folgenden Bereichen möglichst detailliert auf das Geschehen eingehen und es Ihnen
so einfach wie möglich dazustellen.

 

Genug der langen aber doch, in meinen Augen, wichtigen „Rede“. Beginnen wir mit dem Tutorial. Sie
sollten gewisse Begrifflichkeiten kennen, Abkürzungen sowie Bedeutungen. Aber da ich nicht von
Ihnen verlangen kann und möchte, dass Sie dieses Vorwissen besitzen, versuche ich grob auf
Bereiche einzugehen, die vielleicht kompliziert erscheinen.

Was ist Phishing?

„Unter Phishing werden Versuche verstanden, über gefälschte WWW-Adressen, E-Mail oder
Kurznachrichten an Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu
begehen um mit den erhaltenen Daten beispielsweise Kontoplünderung zu begehen und den
entsprechenden Personen zu schaden.“

Aus (http://de.wikipedia.org/wiki/Phishing)

     Kurz in meinen Worten, man gaukelt dem Opfer (engl. Victim) vor, sich via. FakeWebsite von
      irgendeiner Firma in irgendeiner Form zu verifizieren zu müssen, da sonst z.B. die Kündigung
      des Accounts, Kontos oder sonstigem droht.

Wie man an dieser Definition schon erkennen kann, nutzt man beim Phishing die Gutgläubigkeit oder
Dummheit der Bürger aus, denn Phishing ist allseits bekannt.

Banken, Filehoster, die Post und sonstige Institutionen weisen darauf hin

„Am einfachsten schützen Sie sich vor Betrugsversuchen wie Phishing, wenn Sie auf E-Mails
unbekannter Herkunft nicht reagieren. Ihre Sparkasse wird Sie niemals dazu auffordern, aus einer E-
Mail heraus Webseiten zu öffnen, um dort Kontodaten einzugeben.“

Aus (http://www.sparkasse.de/privatkunden/sicherheit-im-internet/phishing.html)

Nach diesen vielen Worten stellt sich nur eine einzige Frage:

Wie betreibt man phishing mit Erfolg?

Sie sollten wissen, dass sie eine möglichst seriöse E-Mail, mit seriösem Absender, an mehrere
Tausend, wenn nicht sogar Milliionen Menschen schicken und darauf hoffen, dass sie die, in der Mail
angegebene, Website besuchen und ihre Daten mit Ihnen teilen. Dafür brauchen wir logischerweise:

    -   Domain(empf https://bpname.com/  => Cnobin/NiceNic Reseller)
    -   Hoster (Free / Paid)
    -   Server für Mailspamming
    -   Phishing Script
    -   Maillisten
    -   Mail – Text

 

Zu allererst versuche ich Ihnen klar zu machen, worauf sie bei der „Beschaffung“ dieser Dinge achten
sollte, danach welche ich Ihnen empfehlen würde.

Bei der Domain muss Ihnen klar sein, dass sie nicht 10 Mio. E-Mails versenden können, mit dem Link
zu ihrer Phishing Seite (engl. Page) ohne das es gemeldet wird. Wie oben bereits erwähnt, kennen
viele Leute, das Prinzip schon und wehren sich dagegen mit Anzeigen, Website melden und und und.

Aus diesem Grund empfehle ich, damit Sie vorab nicht allzu viel investieren müssen, eine Domain zu
kaufen, die auf den Webspace weiterzuleiten auf Unterordner. FireFox z.B. abused (de.: Missbrauch
melden) nicht die komplette Domain, sondern nur den direkten Pfad zur Phishing-Page.

 

Bsp.:

Phishing-Page.de/phishing  Abused nach kurzer Zeit

 

Aber Sie haben natürlich mitgedacht und weitere Pfade angelegt auf die Sie weiterleiten lassen um
diese störende Meldung zu ignorieren

Neuer Pfad: Phishing-Page.de/phishing1

     Kein Abuse zZ. (irgendwann folgt auch der)

Irgendwann, müssen Sie so-oder-so die Domain wechseln.

Sie haben mehrere Möglichkeiten sich eine Domain zu besorgen, aber bedenken Sie, dass manche
Firmen bei dem Verdacht auf kriminelle Aneignung der Domain, diese sofort sperren, auch wenn sie
dies bei Abuse-Meldungen nicht machen würden.

Zum Thema Kicksichere Domains finden Sie, bestimmt auf „einschlägigen“ Foren, eine große
Auswahl. Beachten Sie auch den Wortlaut ihrer Domain, www.ich-ripp-deine-daten.de ist natürlich
für beispielsweise DHL Phishing extrem hinderlich. Nehmen Sie eine Domain die an große Firmen
erinnert, die sich mit dem beschäftigen was Sie phishen wollen. Aber Domains à la dhl-packstation
können Sie vergessen, da diese genau mit solch einem Wortlaut nicht registriert werden. Denken Sie
immer so:

„Würde ich diese Seite besuchen, hört sich der Name seriös an?“.

 

Eine Domain bringt nichts, wenn Sie keinen Webspace oder Server haben, auf dem die eigentliche
Phishing – Seite liegt. Die richtige Auswahl des Servers ist wichtig, man sollte hierzu folgende Dinge
beachten:

    -   Kicksicher
    -   Free / Paid
    -   Ggf. Bezahlung

Zudem sollten Sie sich vorher im klaren werden, wie Sie die gephishten Daten erhalten möchten

 via E-Mail oder auf dem Server speichern.

Zu letzterem würde ich Ihnen nicht raten, denn es kann immer etwas dazwischen kommen, Server
down oder kicked und dann ist es doch schade, wenn Sie nicht an die Daten kommen. Aus diesem
Grund bevorzuge ich das Versenden an eine E-Mail Adresse.

Hierzu sollte Sie auf einen sicheren Anbieter aus dem osteuropäischen Raum zurückgreifen:

    -   Mail.ru
    -   Secure-Mail.biz
    -   Hushmail.com

Alle diese Anbieter sind kostenlos und bieten zumindest, in meinem Augen, mehr Sicherheit als z.B.
Hotmail, AOL usw.

Zurück zum Hoster. Haben Sie sich entschieden wo Sie hosten möchten und wie „legal“ Sie das
finanzieren, dann steht dem Upload ihrer Phishing Seite nichts mehr im Wege. Sollten Sie sich einer

 

kostenlosen Phishing – Seite aus einschlägigen Foren bedienen, so seinen Sie gewarnt. So eine
Phishing-Page kann backdoored sein d.h. Sie phishen die Daten und ein Dritter erhält diese ebenfalls.
Viele User stellen Ihnen auch „sichere“ Phishing Seiten zur Verfügung, die sie ohne Probleme nutzen
können. Passen Sie die Phishing – Seite vielleicht noch ein wenig an, sodass sie sich ein wenig von
dem „Rest“ abhebt. Ich empfehle Ihnen, dass sie Definitiv auf die Rechtschreibung überprüfen
sollten, sowie die Grammatik und das Datum, das möglicherweise auf Ihrer Phishing – Seite als Frist
für das Victim gesetzt ist. Nach dem Sie ihre Phishing Page hochgeladen haben, versuchen Sie diese
selber Aufzurufen, um mögliche Fehler zu entdecken.

Wenn sie die PHP-Datei an Ihre E-Mail angepasst haben, steht Ihnen eigentlich nichts mehr im Weg.
Da ich davon ausgehe, dass Sie dieses Tutorial bisher aufmerksam gelesen haben, wissen Sie was
fehlt:

    -   Mails
    -   Phishing Text
    -   Server zum Mailspammen

 

Bei den Maillisten ist besonders darauf zu achten, dass die eigentlichen Benutzer der Mails aus dem
Land kommen, woher Sie die Daten möchten  Es bring nichts Phishing nach der DHL PACKSTATION
zu starten in einem Land wo es diese überhaupt nicht gibt. Aber wie kommen Sie dann an, meist
deutsche, Mails.

Sollte Sie sich mit Websecurity auskennen, können Sie das folgende überfliegen, denn Sie wissen,
dass Sie sich die Mails aus einem verwundbaren Online Shop dumpen können. Sollten Sie nicht über
dieses Know-How verfügen, müssen Sie nicht gleich das ganze Projekt abblasen. Sie können auf
diversen Foren Maillisten kaufen, zum Preis sei folgendes gesagt: Mehr als 10€ pro 10k DE Mails ist
zuviel (auf Menge >100k  Mengenrabatt), hierbei kann es wieder das Problem geben, dass sich
verschiedene User denken, dass sie die Mails doppelt und dreifach verkaufen, was natürlich den
Ertrag ihres Phishing-Projektes stark beeinflussen kann. Wenn Sie den Verkäufer Ihres Vertrauens
gefunden haben, freuen Sie sich und denken weiter nach. Logischerweise erhalten Sie, wenn sie
beispielsweise 100k DE Mails kaufen, niemals diese Anzahl (100k) an Kundendaten. Bei 100k E-Mails,
einer guten Domain, sowie einer professionellen Phishing Page, erhalten Sie im besten Falle
nichtmehr als 1000 Daten, wenn überhaupt. Versenden Sie ihre Mails in 5k „Schüben“ so können Sie
wie bereits oben erwähnt, auf weitere Pfade auf ihrem Server zurückgreifen, um sich vor abuse zu
schützen.

Das z.T. unterschätze, aber in meinen Augen, wichtigste ist der Mailtext. Kein Mensch lässt sich von
einem Absender [email protected] betrügen, aber dazu später mehr. Sie brauchen einen seriösen
Mailtext von einem seriösen Absender. Aber was sollte so ein Text beinhalten? Nun ja fangen wir so
an: Auf keinen Fall sollte es eine „Standard“ – Mail sein (weißer Hintergrund und Text), es gibt
bestimmt genug HTML-Mail vorlagen, die Sie ihrem Ziel näherbringen. Schauen Sie sich Werbemails
von Amazon, DHL und co. an. Ist ihre HTML-Mail perfekt gestaltet, geht es um den Inhalt. Das Ziel ist
es den Besitzer der E-Mail, auf eine so seriös wie möglich aussehende Seite zu locken und ihm dort
seine Daten zu phishen.

Zu beachten sind:

   -   Rechtschreibung (wird Unterschätzt)
   -   Korrekte Grammatik
   -   Anrede des „Kunden“
   -   Weiterleitung auf die Website

 

Sobald Sie dies alles fertiggestellt haben, müssen Sie sich nur noch um das Versenden der Mails
kümmern. Ihnen bleiben wie immer mehrere Möglichkeiten, zum einen gibt es gewisse User die das
Versenden von Mails anbieten, wieder andere verkaufen Root Server damit Sie dies alles selber
machen können. Bei Versenden via. RootServer brauchen Sie eigentlich nicht viel Know-How, Sie
müssen ledigleich einen SMTP – Server einrichten, MaxBulkMailer installieren und diesen dann
anpassen.

MaxbBulk Mailer:

http://www.maxprog.com/site/software/internet-marketing/mass-bulk-emailer_sheet_de.php

SMTP Server auf auf einem Windows Server einrichten:

http://code-inside.de/blog/2009/10/30/howto-smtp-server-auf-dem-windows-server-2008-
installieren/

Den Maxbulk Mailer müssen Sie nur noch in den Einstellungen anpassen und schon kann das
Versenden losgehen. Es empfiehlt sich hier, erst ein paar Testemails an eigene E-Mail Adressen zu
versenden um alles zu überprüfen.

Selbstverständlich können Sie sich einen Root-Server auch selber besorgen, aber da müssen Sie
schauen wie Sie das machen.

Bevor Sie anfangen ihre Mailliste zuzuspammen, achten Sie auf den Absender.

[email protected] ist um weiten besser als [email protected], da Ihnen sowieso keiner etwas „sinnvolles“
schreiben würde.

 

Ich hoffe ich konnte Ihnen das Thema Phishing bzw. den Prozess des Phishings erläutern, ich möchte
jedoch niemanden zum Nachmachen anstiften.

 

In diesem Sinne, viel Erfolg

Becks

 

Haftungsausschluss:

Der Autor übernimmt keinerlei Gewähr für die Aktualität, Korrektheit, Vollständigkeit oder Qualität
der bereitgestellten Informationen. Haftungsansprüche gegen den Autor, welche sich auf Schäden
materieller oder ideeller Art beziehen, die durch die Nutzung oder Nichtnutzung der dargebotenen
Informationen bzw. durch die Nutzung fehlerhafter und unvollständiger Informationen verursacht
wurden, sind grundsätzlich ausgeschlossen, sofern seitens des Autors kein nachweislich vorsätzliches
oder grob fahrlässiges Verschulden vorliegt.

Bei direkten oder indirekten Verweisen auf fremde Webseiten ("Hyperlinks"), die außerhalb des
Verantwortungsbereiches des Autors liegen, würde eine Haftungsverpflichtung ausschließlich in dem
Fall in Kraft treten, in dem der Autor von den Inhalten Kenntnis hat und es ihm technisch möglich
und zumutbar wäre, die Nutzung im Falle rechtswidriger Inhalte zu verhindern.

 

 

[Goebbels]

Ist das nicht schon voll alt ? Hat doch schon ein paar Jahre aufm Buckel von Becks... weiß nicht ob das dann noch was bringt. Trotzdem danke Kollege

[XING]

Das ist auf jeden fall älter als ich