Man-in-the-browser: Cuidado com o HOME BANKING

[eu]

atenção que nem tudo o que é pirata é mau. Sem querer de forma alguma defender os conteúdos ilegais, até para ser pirata é preciso alguma prática. Por exemplo, eu das raras vezes que saco qualquer coisa "para testes", faço uma análise das extensões dos ficheiros, depois um scan mais a fundo, a seguir envio para o virustotal.com e só depois disso é que arrisco. E até hoje nunca tive problema nenhum.

Não é mais simples e seguro fazer os testes numa máquina virtual?

[KeyserSoze]

Ia aceder à Caixa Directa e quando ia colocar o código aparece o campo com o número de telemóvel, lembrei-me deste tópico e fiquei com a pulga atrás da orelha.

Se quiserem ver, é a situação fraudulenta de 21 de Outubro:

https://caixadirecta.cgd.pt/CaixaDir...00ca74a8c0RCRD

Já está a correr o AV. O que posso fazer mais?

[XO]

Ia aceder à Caixa Directa e quando ia colocar o código aparece o campo com o número de telemóvel, lembrei-me deste tópico e fiquei com a pulga atrás da orelha.

Se quiserem ver, é a situação fraudulenta de 21 de Outubro:

https://caixadirecta.cgd.pt/CaixaDir...00ca74a8c0RCRD

Já está a correr o AV. O que posso fazer mais?

Já ligaste para a Caixa? Averiguar se é normal pedirem o telemóvel... (nunca ouvi). Em todo o caso eu pedia o cancelamento do homebanking (mais tarde reactivarias com outras credenciais) se desconfiares que algo se passa.
Se o AV não der com nada e mesmo assim desconfiares que há "bicho", eu não pensava duas vezes e formatava. Reinstalava o estritamente necessário e criava uma cópia para futuras reinstalações.

Abraços
XO

[XO]

Tentei agora mesmo aceder ao CaixaDirecta (não sou cliente) e não apareceu nenhum campo para introdução do telemóvel...
Se quiseres faz como o amigo do Nuno156, vê a source da página e grava uma cópia (não graves a página em si, só a source num .txt ou assim).

Abraços
XO

[Rasec]

Eu sou cliente e em nenhum momento me pediu o numero de telemóvel (Chrome em Mac).

[poloTDI]

Boa noite,

A situação da CGD é claramente phishing!

Não sou cliente mas para testar acedi à página e aparece logo um pop-up da CGD a dizer que nunca pedem o telemóvel!

Deve ser contactada de imediato a CGD e seguir os passos recomendados.

Cumps.

[BrunoDias]

desculpem a pergunta

mas o que pode acontecer??

eu pergunto isto porque utilizo so santander e por exemplo quero carregar o tlm, e recebo o codigo pelo tlm, quero fazer 1 pagamento, preencho tudo e la vem mensagem para o tlm

[XO]

desculpem a pergunta

mas o que pode acontecer??

eu pergunto isto porque utilizo so santander e por exemplo quero carregar o tlm, e recebo o codigo pelo tlm, quero fazer 1 pagamento, preencho tudo e la vem mensagem para o tlm

No caso específico do Keyser ou ataques destes e similares?

Abraços
XO

[BrunoDias]

em qualquer tipo de ataque

eu so pergunto porque nas operações que faço, tenho que sempre meter 1 codigo que me é enviado para o telemovel

ai ha 2 anos, era 1 codigo que eu selecionei, agora é sempre com 1 codigo que me mandam para o telemovel

[Rasec]

em qualquer tipo de ataque

eu so pergunto porque nas operações que faço, tenho que sempre meter 1 codigo que me é enviado para o telemovel

ai ha 2 anos, era 1 codigo que eu selecionei, agora é sempre com 1 codigo que me mandam para o telemovel

Eles enviam-te um código para o telemóvel! Neste caso eles pedem-te o número de telemóvel! A CGD (no Santander não sei) nunca pede o número de telefone, eles já o sabem!

[XO]

em qualquer tipo de ataque

eu so pergunto porque nas operações que faço, tenho que sempre meter 1 codigo que me é enviado para o telemovel

ai ha 2 anos, era 1 codigo que eu selecionei, agora é sempre com 1 codigo que me mandam para o telemovel

Com o token SMS o principal risco será a operação que tu fizeres não ser a que efectivamente é enviada para o banco mas sim a que o pirata quiser, e se tu não estiveres atento à mensagem (descrição, valores, etc) acabarás por validar a operação errada.
Depois, mais difícil mas igualmente possível, será a alteração ou do telemóvel associado à conta (mesmo com o envio da confirmação por carta para casa) ou (mais difícil ainda) ou clonagem do teu cartão ou uma intercepção das comunicações recebidas pelo teu telemóvel para validação das operações.
Enfim, se formos a não fazer nada porque temos medo mais valeria não sair de casa, mas, na minha opinião, com as devidas seguranças e procedimentos acho que se reduz o perigo para níveis mais que aceitáveis.

Só para finalizar, mesmo que um indivíduo qualquer não consiga efectuar nenhuma operação porque não as consegue validar, eu não gostaria que andassem a ver o que não devem.

Abraços
XO

[nogueiraribeiro]

Tive a tempos uma boa formação de segurança na web, e partilho convosco um detalhe adicional além dos popups, de terem cuidado com o que os sites vos pedem, quando acedem à página inicial do banco, quando metem o username e passam para o ecrã da password, e à medida que navegam, validem sempre o URL que está no browser para perceber se estão realmente no site do vosso banco ou num outro site.

[XO]

Tive a tempos uma boa formação de segurança na web, e partilho convosco um detalhe adicional além dos popups, de terem cuidado com o que os sites vos pedem, quando acedem à página inicial do banco, quando metem o username e passam para o ecrã da password, e à medida que navegam, validem sempre o URL que está no browser para perceber se estão realmente no site do vosso banco ou num outro site.

É um procedimento essencial mas que infelizmente não garante a fiabilidade do acesso. Faço sempre também, mas casos como os do amigo do Nuno156 são sintomáticos.
Eles andem aí em pares de três :P

Abraços
XO

[BrunoDias]

Eles enviam-te um código para o telemóvel! Neste caso eles pedem-te o número de telemóvel! A CGD (no Santander não sei) nunca pede o número de telefone, eles já o sabem!

o numero eu não o meto, ja esta pre defenido
tanto que só me aparece, receber o codigo pelo numero de tlm XXXXXXXXX30

por isso é igual a cdg, ja não pede o numero de tlm

[SB]

como se grava o "source" ? é só fazer gravar como e escolher a opção txt ?

e como se detecta essas coisas ? (na analise?)

[Nuno156]

Boa noite,

A situação da CGD é claramente phishing!

Não sou cliente mas para testar acedi à página e aparece logo um pop-up da CGD a dizer que nunca pedem o telemóvel!

Deve ser contactada de imediato a CGD e seguir os passos recomendados.

Cumps.

Eu só lhe chamaria de PHISHING caso se tratasse de uma página falsa que tenha
sido acedida através de um link enviado numa mensagem.

Caso o URL tenha sido digitado manualmente (ou através de um favorito, histórico
ou afins), será mais grave que um simples PHISHING, porque significa que o
computador está comprometido.

[Ilyushin]

Com o token SMS o principal risco será a operação que tu fizeres não ser a que efectivamente é enviada para o banco mas sim a que o pirata quiser, e se tu não estiveres atento à mensagem (descrição, valores, etc) acabarás por validar a operação errada.

Ainda não percebi como funciona esta parte. Vamos lá ver.. o "pirata" precisa do teu número de telemóvel para supostamente enviar uma mensagem falsa para confirmares uma operação que não é a que tu queres fazer. Mas quem gera o código de validação não é o pirata, mas sim o banco. Para que isto funcionasse seria preciso que:

1 - O "pirata" tivesse controlo total sobre o teu homebanking.
2 - Tu dás ordem para uma operação, que é inceceptada pelo gajo, e a seguir ele faz a operação que quiser no lugar daquela.
3 - O pirata envia uma mensagem falsa para o teu telemóvel, com os dados que supostamente são da transacção que pediste, mas que na verdade apenas vão servir para validar a operação falsa.

Isto só falha por uma razão: a menos que o pirata consiga interceptar a SMS original e evitar que ela chegue ao teu telefone, vais receber duas SMS's! Ou então uma com dados errados. É por este motivo que eu penso que só cai nisto quem for mesmo muito ingénuo ou desatento.

[XO]

como se grava o "source" ? é só fazer gravar como e escolher a opção txt ?

e como se detecta essas coisas ? (na analise?)

Para gravares a source terás de:
botão direito -> Ver código fonte da página -> Ficheiro -> Guardar como -> Escolher "Todos os ficheiros" e digitar um nomequalquer.txt
Este procedimento é similar em todos os browsers.

Uma palavra de advertência, nunca gravem uma página suspeita como .html para não correrem o risco de a correr ou enviarem a alguém e esse alguém a executar.
Detectar o "galho" pode ser tão simples como encontrar atributos src="qualquersitequenãodeviaestaraqui" ou então, se for bem elaborado, poderás não encontrar nada de mal na source e ser tudo efectuado a partir do malware instalado no teu pc.

Abraços
XO

[XO]

Ainda não percebi como funciona esta parte. Vamos lá ver.. o "pirata" precisa do teu número de telemóvel para supostamente enviar uma mensagem falsa para confirmares uma operação que não é a que tu queres fazer. Mas quem gera o código de validação não é o pirata, mas sim o banco. Para que isto funcionasse seria preciso que:

1 - O "pirata" tivesse controlo total sobre o teu homebanking.
2 - Tu dás ordem para uma operação, que é inceceptada pelo gajo, e a seguir ele faz a operação que quiser no lugar daquela.
3 - O pirata envia uma mensagem falsa para o teu telemóvel, com os dados que supostamente são da transacção que pediste, mas que na verdade apenas vão servir para validar a operação falsa.

Isto só falha por uma razão: a menos que o pirata consiga interceptar a SMS original e evitar que ela chegue ao teu telefone, vais receber duas SMS's! Ou então uma com dados errados. É por este motivo que eu penso que só cai nisto quem for mesmo muito ingénuo ou desatento.

Quantos não se enquadram nessa imagem... É exactamente isso. Receberes um token de validação para uma operação que não foste tu que fizeste, a tua operação (que nunca chegaria ao banco) poderia ser um simples carregamento, mas o malware em vez dessa operação efectua uma transferência bancária.
Neste caso sim, o "princípio activo" do esquema passa pela desatenção do utilizador. E esta desatenção poderá conseguir-se credibilizando todo o processo anterior, criando uma sensação de relaxamento no utilizador.

Agora, não sei se já existe algo assim, mas imagina que tens um smartphone e, coincidência, está infectado com algum tipo de malware também. Imagina que a recepção de mensagem é adulterada no teu telemóvel. E imagina que a mensagem mostrada é em tudo igual ao que esperarias mas apenas porque foi mascarada pelo malware. Se é possível? Não tenho muitas dúvidas. Se já existe? Não faço ideia.

Abraços
XO

[Nuno156]

Ainda não percebi como funciona esta parte. Vamos lá ver.. o "pirata" precisa do teu número de telemóvel para supostamente enviar uma mensagem falsa para confirmares uma operação que não é a que tu queres fazer. (...)

Não.
Quem envia a mensagem (SMS) é o banco.
Por isso é que precisas de estar atento ao que está no SMS.

1- Acedes ao site
2- Criminoso toma conta do teu computador
3- Fazes um pagamento de serviços
4- Criminoso intercepta a operação, e substitui por uma transferência para a conta dele
5- Banco envia SMS com código (da transferência, e não do pagamento de serviços que
nunca chegou ao banco, por ter sido substituída pela transferência)
6- Estás desatento, não lês o SMS todo, lês apenas o código, e introduzes o código no
site. BOUM!!! FOSTE CAÇADO.

Ou seja, se estiveres atento ao SMS, poderás ver que:
1- pediste um pagamento de serviços
2- no SMS diz «transferência de 100.000€»
3- não metes o código
4- formatas o PC
5- instalas LINUX

[ZylmhuinVII]

Não.
Quem envia a mensagem (SMS) é o banco.
Por isso é que precisas de estar atento ao que está no SMS.

1- Acedes ao site
2- Criminoso toma conta do teu computador
3- Fazes um pagamento de serviços
4- Criminoso intercepta a operação, e substitui por uma transferência para a conta dele
5- Banco envia SMS com código (da transferência, e não do pagamento de serviços que
nunca chegou ao banco, por ter sido substituída pela transferência)
6- Estás desatento, não lês o SMS todo, lês apenas o código, e introduzes o código no
site. BOUM!!! FOSTE CAÇADO.

Ou seja, se estiveres atento ao SMS, poderás ver que:
1- pediste um pagamento de serviços
2- no SMS diz «transferência de 100.000€»
3- não metes o código
4- formatas o PC
5- instalas LINUX

Agora também tu dizes para instalar Linux???

Não nos bastava o outro fanático que por aí anda???

[Nuno156]

Agora também tu dizes para instalar Linux???

Não nos bastava o outro fanático que por aí anda???

Oh pá... se não os podes vencer... junta-te a eles...

[Rasec]

Agora também tu dizes para instalar Linux???

Não nos bastava o outro fanático que por aí anda???

Andas distraído... o fanático é mesmo o Nuno!!

[Nuno156]

Andas distraído... o fanático é mesmo o Nuno!!

A sério?!
Eu acho que há uns quantos que te devem achar fanático de estragar piadas...

[Rasec]

A sério?!
Eu acho que há uns quantos que te devem achar fanático de estragar piadas...

Entre outras coisas...

[KeyserSoze]

Um pequeno update.

Corri o AV e nada assinalar.

Voltei a tentar aceder - por malandrice coloquei 7 alagarismos que nada tinham a ver com o meu número de contrato e tudo na mesma, outra vez a página a pedir o número de telemóvel.

Telefonei para o serviço de apoio da CGD e na conversa telefónica cancelei o código de acesso anterior.

Posteriormente falei com um amigo meu - informático - para pedir ajuda, se a única solução seria formatar o laptop, etc, etc. Ele disse para instalar um programa de remoção de spyware e fazer o scan.

Após 3 pesquisas e eliminação de "objetos" maliciosos, por curiosidade acedi ao site da CGD, voltei a colocar uma combinação aleatória de 7 algarismos no campo do contrato et voilà, já fui redirecionado para a página habitual em que se coloca o código de acesso.

Para a semana, como terei que passar num balcão da CGD para resolver alguns assuntos, logo pedir novo código de acesso.

[XO]

Um pequeno update.

Corri o AV e nada assinalar.

Voltei a tentar aceder - por malandrice coloquei 7 alagarismos que nada tinham a ver com o meu número de contrato e tudo na mesma, outra vez a página a pedir o número de telemóvel.

Telefonei para o serviço de apoio da CGD e na conversa telefónica cancelei o código de acesso anterior.

Posteriormente falei com um amigo meu - informático - para pedir ajuda, se a única solução seria formatar o laptop, etc, etc. Ele disse para instalar um programa de remoção de spyware e fazer o scan.

Após 3 pesquisas e eliminação de "objetos" maliciosos, por curiosidade acedi ao site da CGD, voltei a colocar uma combinação aleatória de 7 algarismos no campo do contrato et voilà, já fui redirecionado para a página habitual em que se coloca o código de acesso.

Para a semana, como terei que passar num balcão da CGD para resolver alguns assuntos, logo pedir novo código de acesso.

Aparentemente tudo estará bem, mas fizeste bem em cancelar o código de acesso.
Por acaso não guardaste o nome dos objectos que o anti spyware acusou?

ABraços
XO

[KeyserSoze]

Aparentemente tudo estará bem, mas fizeste bem em cancelar o código de acesso.
Por acaso não guardaste o nome dos objectos que o anti spyware acusou?

ABraços
XO

Não te posso dizer com exatidão. Tinha um trojan, mais alguns objetos maliciosos e também um keylogger - hacktool qualquer coisa. Eu sou um leigo nestas matérias.

O cancelamento é imperativo, e é sempre bom telefonar a avisar do que se está a passar. Como clientes também ficamos mais protegidos - creio eu - ao informarmos do que se está a passar.

[XO]

Não te posso dizer com exatidão. Tinha um trojan, mais alguns objetos maliciosos e também um keylogger - hacktool qualquer coisa. Eu sou um leigo nestas matérias.

O cancelamento é imperativo, e é sempre bom telefonar a avisar do que se está a passar. Como clientes também ficamos mais protegidos - creio eu - ao informarmos do que se está a passar.

Importante é tu (e todos) estarem seguros e protegidos. Se soubesses os nomes era interessante nem que fosse para investigar mais um pouquito ;)

Abraços
XO

[Baiones]

O Nuno, conseguiste perceber como é que o romeno tinha acesso ao pc da vitima?

Isto é, o PC abria alguma porta especifica de volta para o romeno para lhe dar controlo?