Die dunkle Unterwelt der Spammer und Phisher

Wir haben einige Verbesserungen an unserem Reputations-Algorithmus angekündigt, der uns bei der Spam-Bekämpfung hilft und es uns ermöglicht, neue Kunden willkommen zu heißen, ohne willkürliche Versandlimits festzulegen. Die größte Herausforderung bei der Entwicklung des Reputations-Algorithmus bestand darin, zwischen diesen guten Kunden (die wir lieben) und böswilligen Spammern und Phishern (die wir hassen) zu unterscheiden. Es stellt sich heraus: Trotz zunehmender Raffinesse weisen Spam- und Phishing-E-Mails viele erkennbare Merkmale auf, die wir heute aufdecken. Es ist ein Katz-und-Maus-Spiel, um das wir nicht gebeten haben, aber wir können auf die Jagd gehen, wenn es nötig ist.

May 16 09:59:31 razor INFO PID:542 Thread-4 [razor.periodic.detected_by_scanners] SPAMMER! chaseupdate.com

May 16 10:16:10 razor INFO PID:542 Thread-4 [razor.periodic.detected_by_scanners] SPAMMER! onlinechase.com

May 16 15:04:16 razor INFO PID:542 Thread-4 [razor.periodic.detected_by_scanners] SPAMMER! work.com

Im Laufe der Jahre haben wir viele Spammer bekämpft (für einige der schlimmsten Wiederholungstäter haben wir sogar Spitznamen) und dabei zwei Hauptmuster festgestellt: Spammer, die versuchen, Botnetze für die Zustellung von Millionen ungerichteter Spam-E-Mails (Rolex, Viagra, kanadische Medikamente) zu nutzen, und Phisher, die raffinierte, hochgradig zielgerichtete Angriffe auf eine kleine Anzahl von Opfern orchestrieren. Das haben wir über beide gelernt:

Es ist bekannt, dass der „Return on Investment“ für Spammer sehr gering ist. Sie versenden Millionen von E-Mails in der Hoffnung auf nur wenige Treffer. Selbst die günstigsten Massen-E-Mail-Anbieter sind nicht kostenlos, was bedeutet, dass sie wie alle Geschäftsleute darauf achten müssen, ihre Kosten niedrig zu halten. So bereiten sich diese Cyberkriminellen auf einen Angriff vor:

• Sie erstellen unzählige kostenlose Konten und versenden von jedem eine kleine Anzahl legitimer E-Mails, um neue Kundschaft zu simulieren, die das System nur testet. Dadurch sinkt die Wahrscheinlichkeit, dass ihre Spam-Nachrichten von vornherein als verdächtige E-Mails markiert werden.
• Sie erstellen zudem einige kostenpflichtige Konten (mit gestohlenem Guthaben), um ihr Profil zu diversifizieren, was die Erkennung ihres Botnetzes erschwert.
• Konten werden oft mit kostenlosen E-Mail-Adressen (z. B. @gmail.com oder @yahoo.com) oder mit legitimen Business-Domains erstellt, die sie gekapert haben, um als vertrauenswürdige Quelle zu erscheinen.
• Link-Shortener (wie bit.ly und t.co) und kostenlose Subdomain-Hoster (wie tumblr) werden großzügig genutzt, um das Ziel ihrer Links zu verschleiern – meist gefälschte Websites, die echte Webseiten imitieren sollen.

Sobald die Spammer ein Botnetz von ausreichender Größe für ihren Angriff angesammelt haben (das können Dutzende oder Hunderte von Konten sein), greifen sie an und überschwemmen die Welt mit einer Masse unerwünschter E-Mails, die UNGLAUBLICHE ANGEBOTE anpreisen, DIE SIE NICHT VERPASSEN DÜRFEN!!!!!!!!

Mithilfe von Mathematik und vielen Eingabedaten wie Sende-IPs, E-Mail-Inhaltsprüfungen und Ähnlichkeiten bei den Kontodetails können wir das gesamte Botnetz fast augenblicklich abschalten. Tut uns leid, liebe Welt, für die nächste nachgemachte Uhr muss wohl der volle Preis gezahlt werden.

Die Botnetz-Spammer wetten darauf, dass sie, wenn sie die Abwehrmaßnahmen eines E-Mail-Anbieters durchbrechen, ungestraft Millionen von Nachrichten versenden können. Die bösartigen Phisher verfolgen einen anderen Ansatz. Diese Phisher sind schlicht und ergreifend Kriminelle, und sie gehen raffiniert vor, indem sie sich für hochgradig zielgerichtete Angriffe mit geringem Volumen entscheiden. Das ist ihr Modus Operandi:

• Es werden nur hochwertige gestohlene Kreditkarten verwendet, damit alle Prüfungen übereinstimmen (Name, Adresse, Postleitzahl, CVC-Code). An diese Art von Karten zu gelangen, ist schwierig und zeugt von der Raffinesse dieser Kriminellen sowie ihren Skills im Identitätsdiebstahl.
• Premium-Konten werden mit geschäftlichen E-Mail-Adressen und legitimen Domains erstellt.
• Alle Interaktionen mit Mailgun erfolgen über saubere IPs, was den Verdacht verringert.

Das Problem mit diesen Phishern ist, dass sie ideal wirken. Sie bringen alles mit, was man sich von einer Kundschaft erhoffen kann: überprüfte Kreditkartennummern, geschäftliche E-Mails und eine allgemein gute Reputation. Wahrscheinlich könnten sie uns sogar eine legitime Sozialversicherungsnummer geben, wenn wir danach fragen würden. Das macht sie so gefährlich.

Sie nutzen ihre scheinbare Legitimität gepaart mit ein wenig Social Engineering (mehr dazu unten), um all das zu umgehen, worauf E-Mail-Anbieter ihrer Meinung nach achten. Dann schlagen sie zu … nicht mit Millionen von E-Mails, sondern vielleicht nur mit Tausenden. Darüber hinaus führen sie ständig A/B-Tests ihrer Inhalte durch, um zu sehen, was mehr Klicks bringt (und was die Spamfilter passiert). Das macht die Erkennung noch schwieriger, da der Inhalt jedes Mal anders ist, selbst beim selben Angriff.

Das Coding oben im Beitrag ist ein Beispiel für einen dieser Phishing-Versuche. Es wurden drei separate Konten verwendet, um E-Mails mit dem Betreff „Chase: Security Recommendation“ zu versenden. Und wir haben sie sofort abgeschaltet („Razor“ im Coding ist die Bezeichnung für unseren kleinen Reputations-Algorithmus).

Mit Razor und den Datenpunkten, die wir bei jeder Nachricht in Echtzeit analysieren, können wir diese Angriffe dennoch vereiteln. Solche Angriffe sind einer der Hauptgründe, warum wir Razor überhaupt entwickelt haben. Ein beliebter Ansatz zur Spam-Bekämpfung basiert auf dem Volumen. Für neue Kundschaft wird zunächst limitiert, wie viele E-Mails gesendet werden können, bis man sich langsam kennenlernt und das Versandlimit erhöht wird. Wenn diese Kundschaft jemals einen Volumenanstieg über ihr durchschnittliches Niveau verzeichnet, wird sie zudem mit Misstrauen betrachtet und erneut eingeschränkt. Das Problem ist, dass all das nicht bei Spammern hilft, die nur Dutzende von bösartigen E-Mails versenden. Volumenbasierter Schutz ist ein stumpfes Messer, das seriösen Absendern schadet und die böswilligen nicht aufhält. Die einzige Antwort auf das Problem sind viel Forschung, Datenanalyse und ausgereifte Algorithmen. Wir könnten näher darauf eingehen, riskieren dann aber, dem Feind zu viele Informationen preiszugeben.

Betrug erfordert manchmal ein wenig Social Engineering. Spammer sehen, dass ihre Konten deaktiviert sind, und versuchen oft, sich bei unserem Support-Team beliebt zu machen, in der Hoffnung, dass diese wieder aktiviert werden. So etwas passiert öfter, als uns lieb ist, aber die Schimpfwörter, die unweigerlich folgen, wenn sie erwischt werden, können amüsant sein. Es ist durchaus befriedigend zu wissen, dass die Spammer besiegt wurden und nur noch mit unlogischen Aneinanderreihungen von wenigen Schimpfwörtern antworten können. Hier sind einige typische Wortwechsel (wir haben einige Details geändert, um die Schuldigen zu schützen).

Ein Spammer nutzt einen anonymen Proxy, um vorzutäuschen, sich in einem bestimmten Land zu befinden, während er gleichzeitig darauf beharrt, in einem anderen zu sein.

Versand von E-Mails von einer offensichtlich betrügerischen Domain mit dem Vorwand, Amazon und PayPal zu sein

Dem Spammer fehlen die Worte (die mehr als vier Buchstaben haben), als er gebeten wird, zu erklären, in welcher Verbindung Amazon und PayPal zu seinem Unternehmen stehen.

Unfähigkeit, DNS-Einträge für die Domain einzurichten, die sie angeblich kontrollieren

Ein Spammer gerät ins Straucheln, als er gebeten wird, den DNS-Eintrag für seine Domain zu konfigurieren, und teilt unserem Team höflich mit, dass einige Männer die Mutter unseres Support-Teams attraktiv finden.

Wir hoffen, Ihnen hat dieser Einblick in die Welt der Spammer und Betrüger gefallen. Wenn Sie neugierig sind, können Sie weitere Details über Razor, unser Reputationssystem, lesen hier.

Viel Spaß beim (legitimen) Versenden,

Ihr Mailgun-Team

Autor: The Sinch Mailgun team The Sinch Mailgun team shares news, best practices, and strategies to take your products and apps to the next level using email. Subscribe to our newsletter to get all the articles in your inbox!