Social Engineering im Forum [Endet 28.07.]

[𝗠𝗼𝗱𝗲𝗿𝗮𝘁𝗼𝗿 (helmut_monau)]

Gestern stand hier für ein paar Minuten ein Thread, der augenscheinlich 
von einem Moderator verfasst worden war. Tatsächlich hatte sich der 
Benutzer aber gerade erst angemeldet. Er hatte jedoch die typische 
(𝗠𝗼𝗱𝗲𝗿𝗮𝘁𝗼𝗿) Markierung.

Ich habe jetzt mal ein bisschen getestet und mir einen neuen Account 
dazu angelegt. Ich denke, dass ich das Problem nun erklären kann und 
möchte dieses Weg nutzen, um die Forenteilnehmer vor diesem Trick zu 
warnen und Tipps geben, wie man ihn erkennen kann. Schließlich könnten 
falsche Moderatoren zu Social Engineering führen. Seien es nur harmlose 
aber wenig zielführende Diskussionen, oder aber, gegebenenfalls im 
Markt, die Aufforderung zum Versand einer Direktnachricht an eine 
vermeintlich vertrauenswürdige Person.

Offensichtlich funktioniert der Trick wie folgt. Wenn eine Firma im 
Profil angegeben wird, dann wird sie in Beiträgen wie folgt angezeigt: 
(Firma: xyz). Wenn ich jetzt im Firmennamen eine schließende runde 
Klammer verwende, sieht es im Thread so aus, als wäre das Text außerhalb 
des Firmennamens, der von der Forensoftware erzeugt wurde. So würde der 
folgende Wert beispielsweise einen Administrator vortäuschen:

xyz) (Administrator

Das sieht schon sehr echt aus. Es geht aber noch mehr! Schon vor einiger 
Zeit haben hier einige Nutzer angefangen Unicode Sonderzeichen wie das 
Scheemann Emoji in den Namen einzufügen. Es gibt aber nicht nur Emojis, 
sondern auch Unicode Zeichen für fette Schrift. Und so kann tatäschlich 
auch die eigentlich korrekte fette Darstellung erreicht werden:

xyz) (𝗔𝗱𝗺𝗶𝗻𝗶𝘀𝘁𝗿𝗮𝘁𝗼𝗿

Im Threadverlauf fällt es jetzt kaum noch auf, dass es sich um einen 
Fakeaccount handelt. Denn der einzige Anhaltspunkt wäre jetzt noch der 
Benutzername. Aber wer kennt schon die Benutzernamen aller Moderatoren 
und Administratoren auswendig? Ich kann daher jedem nur empfehlen: Wenn 
ein Moderator oder Administrator hier irgendwelche seltsamen Dinge 
verkündet, dann klickt vorher mal auf das Profil. Da ist es nämlich dann 
sofort erkennbar.

Ich habe das mit meinem Account mal getestet und mich Inventar genannt. 
Das Ergebnis ist oben zu sehen. Ich hoffe das geht so klar. Wenn nicht, 
dann den Account gerne sperren, aber lasst den Post hier bitte als 
Warnung für andere stehen. Als Hinweis für alle: Ich bin kein 
offizielles Inventar des Forums!

Es kommt noch ein Aspekt dazu. Die Eingabefelder im Profil sind 
Längenbeschränkt. Firma darf zum Beispiel eigentlich nur 30 Zeichen 
haben. Es scheint, als würden die genannten Unicode Zeichen zumindest 
clientseitig mehrere Zeichen darstellen. Die Länge des Feldes lässt sich 
jedoch im Browser erweitern und der Server akzeptiert die Eingabe 
trotzdem. Es wäre also zu prüfen, ob es hier eventuell im Server noch 
eine Längenbegrenzung braucht. Eventuell wäre es auch gut nur 
Standardzeichen zuzulassen.

Ich denke auch, dass das Problem nicht nur auf den Firmennamen 
beschränkt ist, sondern sich auch erreichen lassen könnte, indem man den 
Nachnamen leer lässt und den Inhalt direkt in den Vornamen schreibt.

[Emil S. (Gast)]

Helmut M. schrieb:
> Ich denke, dass ich das Problem nun erklären kann und
> möchte dieses Weg nutzen, um die Forenteilnehmer vor diesem Trick zu
> warnen und Tipps geben, wie man ihn erkennen kann

Ja und?! Intelligente Personen bewerten nicht erst seit gestern Beiträge 
ausschließlich nach deren Inhalt und nicht nach der Typographie im 
Absenderfeld.

Also wäre eine konsequente Gegenmassnahme, das ohnehin unbedeutsame 
Absenderfeld komplett auszublenden, das benötigen ohnehin nur 
Profilneurotiker.

Aber ja, bitte, mach Dich wichtig, selbsternannte 
Computersicherheitsexperten kann das dumbe Internetvolk nicht genug 
haben.

Es ist halt sehr bequem, andere für sich denken zu lassen!

[𝗠𝗼𝗱𝗲𝗿𝗮𝘁𝗼𝗿 (helmut_monau)]

Emil S. schrieb:
> Ja und?! Intelligente Personen bewerten nicht erst seit gestern Beiträge
> ausschließlich nach deren Inhalt und nicht nach der Typographie im
> Absenderfeld.

Warum sollte ein nicht-Moderator der Rechtschreibung nicht mächtig sein? 
Habe gehört es gibt Rechtschreibkorrekturen. Diejenigen, die nicht mal 
das hinkriegen, kommen auch nicht auf die hier vorgestellte Idee.

> Aber ja, bitte, mach Dich wichtig, selbsternannte
> Computersicherheitsexperten kann das dumbe Internetvolk nicht genug
> haben.

Hier sind schon Leute auf viel plumpere Fälschungen reingefallen. Es gab 
da mal einen Thread in dem sich jemand als Administrator mit dem 
Benutzernamen admin ausgegeben hat. Selbst das haben nur wenige gemerkt. 
Viele haben darauf reagiert. Und dann war da mal der Thread mit den 
günstigen Raspberries im Markt. Oder der mit dem bekannten Betrüger, der 
eine Werkstattauflösung machen wollte.

> Es ist halt sehr bequem, andere für sich denken zu lassen!

Eben nicht. Ich zeige hier nur allen, worauf sich achten sollten. Denken 
muss immer noch jeder selbst.

[Chris D. (myfairtux) (Moderator)]

Da muss man schon etwas aufpassen - mMn sollte da Andreas auch 
entsprechend einschränken. Ich leite das mal weiter.

Bis dahin: der fette Text muss HINTER dem Nicknamen stehen.

Nur dann bin ich das Original ;-)

[(prx) A. K. (prx)]

Es kann sicher nicht schaden, bei der Anmeldeinfo eines Accounts nicht 
jeden Schindluder zuzulassen.

[Hannes J. (Firma: _⌨_) (pnuebergang)]

Ich hätte das zum Einstieg nicht mal als Social Engineering eingestuft. 
sondern als einen Mini-Hack. Der dann die Basis für etwas Social 
Engineering war.

Warum der Hack lang und breit beschrieben werden muss? Keine Ahnung. Ein 
Blick auf https://www.mikrocontroller.net/user/show/andreas_schwarz 
zeigt sofort was gemacht wurde.