Übungen aus echten Angriffen

Eine Vorlagenbibliothek spricht über Paketdienste. Der echte Angriff auf Ihr Haus spricht über den Lieferanten, mit dem Sie gestern telefoniert haben. Deshalb lassen sich Nachrichten aus der Quarantäne entschärfen und als Übung wiederverwenden.

Was beim Entschärfen entfernt wird

• Jeder Link zeigt auf den Übungsplatzhalter. Beim Versand wird daraus die Landeseite Ihres Kontos. Kein Ziel des Angreifers bleibt stehen, auch nicht in Bildkarten oder Mailto-Verweisen.
• Jedes nachgeladene Bild fliegt heraus. Ein Zählpixel würde dem Angreifer sonst melden, dass die Übung geöffnet wurde. Eingebettete Bilder bleiben, sie laden nichts nach.
• Skripte, Formulare und Rahmen fallen weg.
• Adressen und Namen der ursprünglichen Empfänger werden durch einen Platzhalter ersetzt. Beim Versand steht dort die Adresse der Person, die die Übung bekommt.
• Kontaktdaten fallen weg: Rufnummern, Anschriften, Bankverbindungen, Register- und Steuernummern, Namenslisten hinter „Geschäftsführer". Besteht eine Zeile im Wesentlichen daraus, fällt die ganze Zeile; steht ein Muster mitten im Satz, fällt nur das Muster.

Was bewusst stehen bleibt

Alles, was die Masche ausmacht: Betreff, Anrede, Dringlichkeit, Aufbau, Grußformel und der Name direkt darunter. Beim Chef-Betrug ist dieser Name die Lehre.

Auch der angezeigte Linktext bleibt. Steht dort https://portal.microsoft.com und der Link führt woandershin, ist genau das der Lerninhalt.

Warum immer ein Entwurf entsteht

Einen Klarnamen mitten im Fließtext erkennt keine Automatik. „Bitte sprich mit Martina Kellermann" bliebe stehen.

Aus einem echten Angriff entsteht deshalb immer ein Entwurf, nie eine freigegebene Vorlage. Eine Person in Ihrem Haus liest den Text, bevor er an die Belegschaft geht. Die Oberfläche sagt das ausdrücklich und zeigt an, welche Muster gefunden und entfernt wurden.

Nicht jede Nachricht taugt als Übung

Klassen wie „Anhang mit aktiven Elementen" treffen jedes PDF mit Formularfeld und damit auch legitime Geschäftspost. Eine Übung daraus wäre die Fälschung Ihres eigenen Lieferanten.

Als Träger taugen die Klassen, die eine Absicht belegen: Display-Name-Spoofing oder eine Phishing-URL.