[
  {
    "start": 0.86,
    "end": 9.28,
    "text": "Willkommen zum IT Security Podcast von Kirosek, dem bekanntesten Anbieter von IT Security-Beratung Pentes Retaming und Incident Response."
  },
  {
    "start": 10.02,
    "end": 10.1,
    "text": "In"
  },
  {
    "start": 10.22,
    "end": 23.08,
    "text": "dieser Episode sprechen Benny und Felix über eine reale Fishing-Kampagne und nehmen dabei genauer unter die Lupe wie moderne Fishing Angriffe funktionieren und wie professionell die dahinter liegenden Strukturen inzwischen aufgebaut sind."
  },
  {
    "start": 23.56,
    "end": 24.88,
    "text": "Viel Spaß beim Zuhören!"
  },
  {
    "start": 29.54,
    "end": 30.299,
    "text": "Ja, so halb."
  },
  {
    "start": 30.639,
    "end": 36.76,
    "text": "Ich hab zumindest eine SMS bekommen und da war ein Fishing Link drin aber gefischt wurde ich nicht mehr."
  },
  {
    "start": 37.36,
    "end": 38.339,
    "text": "Aber du hast den Link geklickt?"
  },
  {
    "start": 38.76,
    "end": 39.68,
    "text": "Ich habe auf den Link geklickt ja!"
  },
  {
    "start": 41.199,
    "end": 43.28,
    "text": "Und das war echt ganz interessant was ich da so gesehen habe."
  },
  {
    "start": 43.46,
    "end": 55.3,
    "text": "es war eine SMS von einer Bank oder Zitat so als wäre sie von einer bank und sie hat mir halt irgendwie gesagt dass ich doch bitte mal meine Zugangsdaten erneuern soll."
  },
  {
    "start": 56.14,
    "end": 58.9,
    "text": "Oh dann hast Du geklückt und neue Zugangs Daten eingegeben."
  },
  {
    "start": 59.5,
    "end": 62.96,
    "text": "Ja das hätten sie wohl gerne gehabt, aber nee natürlich nicht."
  },
  {
    "start": 63.76,
    "end": 66.34,
    "text": "Wir haben uns dann diese Website mal so ein bisschen genauer angeschaut."
  },
  {
    "start": 66.56,
    "end": 77.64,
    "text": "Das war halt eine Website die halt so getan hat als Versi von der Bank und wir haben uns die da mal genauer an geschaut und dann haben wir festgestellt naja die ist ja gar nicht echt."
  },
  {
    "start": 78.54,
    "end": 79.2,
    "text": "Oh Überraschung!"
  },
  {
    "start": 79.96,
    "end": 87.66,
    "text": "Und wir haben den Inhalt einmal genauer angeguckt auch wie das alles funktioniert."
  },
  {
    "start": 88.66,
    "end": 89.72,
    "text": "Wie habt ihr das konkret gemacht?"
  },
  {
    "start": 89.82,
    "end": 94.04,
    "text": "Also du hast dich dann da durchgeklickt, deine Fake Credentials eingegeben."
  },
  {
    "start": 94.26,
    "end": 101.1,
    "text": "Eine Telefonnummer angegeben und dann mal geschaut was da passiert oder... Und dann gesehen was den anderen Opfern auch passiert ist."
  },
  {
    "start": 101.14,
    "end": 102.84,
    "text": "oder hast du das noch detaillierter angeschaut?"
  },
  {
    "start": 103.64,
    "end": 114.58,
    "text": "Genau also wir haben uns ja diese Website einfach mal angeschauen und was es ja am Ende war von der Bank eine impersonierte Webseite wo jemand im Prinzip meine Zugangsdaten haben wollte."
  },
  {
    "start": 115.86,
    "end": 125.4,
    "text": "Und das ist dann üblicherweise so, dass am Anfang immer erst mal nach der Postleitzahl gefragt wird und dann halt nach den Bankzugangsdaten zum Online-Banking."
  },
  {
    "start": 127.52,
    "end": 129.28,
    "text": "Warum wird nach der postleitzahlen gefragt?"
  },
  {
    "start": 130.36,
    "end": 132.76,
    "text": "Ja, das ist eine Spezialität."
  },
  {
    "start": 133.52,
    "end": 141.54,
    "text": "Der Punkt ist, in Deutschland gibt es sehr viele gemeinschaftliche oder genossenschaftlichen Banken."
  },
  {
    "start": 142.6,
    "end": 148.72,
    "text": "Und das heißt eine Sparkasse oder eine Volksbank, die haben ganz viele kleine Filialen und ein paar große."
  },
  {
    "start": 149.5,
    "end": 152.76,
    "text": "Und jede Filiale ist ja sehr unabhängig voneinander organisiert."
  },
  {
    "start": 152.82,
    "end": 164.76,
    "text": "und das bedeutet dass wenn ich jetzt einen Fishing Link für zum Beispiel so eine lokale Bank bekomme dann muss der Fischer auch wissen bei welcher Bank ich bin sonst helfen mir auch Zugangsdaten nichts oder auch Informationen nicht."
  },
  {
    "start": 164.86,
    "end": 169.7,
    "text": "Das heißt am Anfang wird deswegen immer nach der Postleitzahl gefragt und entsprechend halt nach der richtigen Filiale."
  },
  {
    "start": 170.16,
    "end": 171.92,
    "text": "Das ist so ne ganz deutsche Spezialität!"
  },
  {
    "start": 172.3,
    "end": 176.16,
    "text": "Das heißt, die passen dann auch das Layout so an, dass es auf deine regionale Filiale passt?"
  },
  {
    "start": 177.14,
    "end": 178.06,
    "text": "Ja, so halbwegs."
  },
  {
    "start": 178.48,
    "end": 187.96,
    "text": "Manchmal üblicherweise ist aber relativ generisch gehalten weil auch die Filial natürlich von der Farbgebung und vom Design oft recht ähnlich sind."
  },
  {
    "start": 188.74,
    "end": 188.84,
    "text": "Okay,"
  },
  {
    "start": 189.06,
    "end": 189.18,
    "text": "d.h.,"
  },
  {
    "start": 189.42,
    "end": 192.14,
    "text": "du hast jetzt da die Daten eingegeben und geschaut was dann passiert."
  },
  {
    "start": 193.02,
    "end": 206.86,
    "text": "Genau ich habe dann da mal Demo-Daten eingegebt, Dummydaten Und das Interessanteste was danach kam war tatsächlich Man aufgefordert wird diese zugangsdaten einzugeben aber das beim ersten mal immer viel schlägt."
  },
  {
    "start": 207.54,
    "end": 215.54,
    "text": "Das ist so irgendwie auch ganz klassisch, dass halt wenn man dann aufgefordert wird die zugang starten einzugegen, dass egal was man da eingibt ob es richtig oder falsch ist."
  },
  {
    "start": 216.6,
    "end": 226.9,
    "text": "Immer die Meldung kommt die Zugungsdaten sind falsch und dann wird man aufgefordern das ganze nochmal zu machen Und wie wir dann gesehen haben ist es tatsächlich einfach im Hintergrund fest eingebaut."
  },
  {
    "start": 227.46,
    "end": 228.0,
    "text": "Was meinst du Benni?"
  },
  {
    "start": 228.08,
    "end": 228.26,
    "text": "warum?"
  },
  {
    "start": 229.12,
    "end": 230.36,
    "text": "Keine Ahnung erzählst du's mir"
  },
  {
    "start": 231.14,
    "end": 236.54,
    "text": "Naja, weil die ironie ist halt das sie verhindern wollen dass leute sich vertippen."
  },
  {
    "start": 237.1,
    "end": 238.76,
    "text": "Weil sich es im hintergrund ja nicht überprüfen."
  },
  {
    "start": 238.88,
    "end": 244.8,
    "text": "also wenn man jetzt einfach irgendwelche zugangsdaten eingibt dann wird nicht über prüft ob diese zugang starten im hintergründ tatsächlich auch echt sind."
  },
  {
    "start": 245.3,
    "end": 247.2,
    "text": "Sondern das wird dann vielleicht erst später gemacht."
  },
  {
    "start": 247.24,
    "end": 253.44,
    "text": "das heißt die werden erstmal aufgezeichnet und um zu verhinderen dass ich leute vertippe fordern Sie die Leute halt einfach aufes zweimal einzugeben"
  },
  {
    "start": 254.02,
    "end": 258.26,
    "text": "Und der Trick ist einfach, dass die Leute beim zweiten Mal vorsichtiger tippen und die Wahrscheinlichkeit größer ist als es richtig ist."
  },
  {
    "start": 258.44,
    "end": 261.0,
    "text": "Genau oder man kann halt dann vielleicht erkennen wo der Taipo ist?"
  },
  {
    "start": 261.039,
    "end": 266.52,
    "text": "Vielleicht war's ein Taipoo im Namen oder also man kann vielleicht dann irgendwie erahnen was das richtige Passwort ist."
  },
  {
    "start": 266.94,
    "end": 270.739,
    "text": "anhand der zwei Eingaben sollten beide falsch sein genau."
  },
  {
    "start": 270.82,
    "end": 281.599,
    "text": "und wenn man dann die Zugangsdaten da eingegeben hat Dann kommt man zum nächsten Schritt und das ist eine Seite Wo man dann aufgefördert wird zu ein paar persönliche Informationen preiszugeben."
  },
  {
    "start": 282.859,
    "end": 287.5,
    "text": "Das ist einerseits das Geburtsdatum, das ist glaube ich eine Telefonnummer und der Name."
  },
  {
    "start": 288.34,
    "end": 290.299,
    "text": "Das klingt jetzt alles nach sehr Standardfishing?"
  },
  {
    "start": 290.419,
    "end": 290.719,
    "text": "Und dann..."
  },
  {
    "start": 291.359,
    "end": 291.52,
    "text": "Genau!"
  },
  {
    "start": 291.599,
    "end": 293.0,
    "text": "Das Besondere ist eigentlich die Telefon-Nummer."
  },
  {
    "start": 293.039,
    "end": 293.82,
    "text": "Das ist ein bisschen komisch."
  },
  {
    "start": 293.859,
    "end": 309.039,
    "text": "Man würde vielleicht eher mit einer E-Mail rechnen und wenn man das aber dann weiter noch macht also nochmal den nächsten Schritt geht, dann kommt man und das ist so eine Besonderheit, die man in den letzten Monaten öfter bei solchen Seiten gesehen hat zu einer Termineauswahl."
  },
  {
    "start": 311.32,
    "end": 313.799,
    "text": "Das heißt der Fischer möchte mit dir telefonieren?"
  },
  {
    "start": 314.34,
    "end": 314.9,
    "text": "Ja, genau."
  },
  {
    "start": 315.159,
    "end": 318.859,
    "text": "Also klingt blöd ist aber tatsächlich so."
  },
  {
    "start": 319.84,
    "end": 328.919,
    "text": "Dafür eben auch die Telefonnummer vorher der Fischer möchte dich quasi anrufen oder mich in dem Fall und da kann man dann einfach einen Terminauswahl."
  },
  {
    "start": 329.0,
    "end": 342.599,
    "text": "Man hat üblicherweise nur ganz wenig Tage zur Verfügung also nur auch bis zu zwei Tagen und da hat man dann eine relativ freie Terminausswahl da soll man dann ein Rückruftermin vereinbaren."
  },
  {
    "start": 343.359,
    "end": 344.0,
    "text": "Und kommt er dann?"
  },
  {
    "start": 344.739,
    "end": 347.479,
    "text": "Ja, das kommt so ein bisschen drauf an was man da so eingegeben hat."
  },
  {
    "start": 348.359,
    "end": 350.14,
    "text": "Es gibt aber Fälle wo der tatsächlich kommt."
  },
  {
    "start": 350.219,
    "end": 363.539,
    "text": "also wenn die Daten die man da eingegebt hat plausibel sind und sie die Zugangsdaten testen konnten auch wenn sie nicht in das Konto reinkommen weil vielleicht noch eine Multifaktor-Otentifizierung vor ist kann man ja schon sehen ob die Zugungsdaten richtig sind."
  },
  {
    "start": 363.62,
    "end": 370.52,
    "text": "und wenn die richtig sind Dann ist es durchaus wahrscheinlich, dass sie dann auch tatsächlich zum richtigen Zeitpunkt zurückrufen."
  },
  {
    "start": 371.219,
    "end": 372.479,
    "text": "Und was machen Sie denn beim Telefonat?"
  },
  {
    "start": 373.38,
    "end": 380.599,
    "text": "Das ist so ein bisschen unterschiedlich und das kommt einfach auf die Gruppe an, die das macht."
  },
  {
    "start": 382.099,
    "end": 391.679,
    "text": "aber üblicherweise wird da irgendwie versucht den... ... das Opfer zu überzeugen davon, dass jetzt da noch was eingerichtet werden muss."
  },
  {
    "start": 392.179,
    "end": 399.32,
    "text": "Im Prinzip wollen die halt an den Multifaktor und die Multifaktor-Otentifizierung rankommen... Und es ist ja bei den Banken üblicherweise ein extra App!"
  },
  {
    "start": 400.14,
    "end": 407.38,
    "text": "Das ist dann auch mit einer relativ aufwendigen Einrichtung verknüpft und im Prinzip versuchen sie diese Leute dann dadurch zu begleiten."
  },
  {
    "start": 408.38,
    "end": 412.479,
    "text": "Okay bisher waren jetzt ja alles Dinge, die relativ offensichtlich sind, die man durchs Durchklicken rausfindet."
  },
  {
    "start": 412.96,
    "end": 414.539,
    "text": "aber du hast ja noch mehr herausgefunden?"
  },
  {
    "start": 414.58,
    "end": 416.419,
    "text": "Was hast denn du rausgefunden und wie hast Du das"
  },
  {
    "start": 416.46,
    "end": 416.979,
    "text": "rausgefundet?!"
  },
  {
    "start": 417.56,
    "end": 423.7,
    "text": "Genau, also muss erst mal noch dazu sagen die meisten Leute die darauf reinfallen bekommen es als SMS und die machen das natürlich auch auf dem Handy auf."
  },
  {
    "start": 423.739,
    "end": 426.679,
    "text": "Auf dem Handy sieht alles ein bisschen anders aus als auf dem Computer."
  },
  {
    "start": 427.26,
    "end": 430.9,
    "text": "einerseits ist es natürlich auch optimiert darauf und andererseits sieht man auch weniger."
  },
  {
    "start": 430.979,
    "end": 436.58,
    "text": "Also auf den Computer würde einem vielleicht viel eher auffallen dass es eine Fishing-Seite ist aufm Handy viel weniger."
  },
  {
    "start": 437.7,
    "end": 439.739,
    "text": "Und genau."
  },
  {
    "start": 439.84,
    "end": 446.539,
    "text": "wir haben uns diese Webseite tatsächlich jetzt mal im Detail angeschaut und dabei erstmal festgestellt okay Es ist ne Single Page Application."
  },
  {
    "start": 448.64,
    "end": 454.84,
    "text": "Das bedeutet, dass viele Komponenten von der kompletten Applikation quasi im Hintergrund einfach geladen werden."
  },
  {
    "start": 454.88,
    "end": 456.14,
    "text": "Auch wenn sie nicht angezeigt werden."
  },
  {
    "start": 456.64,
    "end": 458.64,
    "text": "Einfach so ohne das man irgendwie groß was macht."
  },
  {
    "start": 458.719,
    "end": 462.76,
    "text": "also wenn man da jetzt einfach auf diesen Link klickt den man in der SMS bekommen hat dann lädt es."
  },
  {
    "start": 463.919,
    "end": 481.76,
    "text": "und das Schöne ist, dass in diesen Komponenten auch ganz viel Sachen drin sind die dann nicht unbedingt hingehören Also die jetzt überhaupt nicht nötig wären dass hier geladen werde durchaus hinter Informationen drin sind, die da eigentlich auch nicht unbedingt preisgegeben werden sollten."
  },
  {
    "start": 481.799,
    "end": 486.02,
    "text": "Wie zum Beispiel administrative Zugang also wie..."
  },
  {
    "start": 487.179,
    "end": 488.02,
    "text": "Also admin Passworte?"
  },
  {
    "start": 488.46,
    "end": 499.28,
    "text": "Ja es könnte jetzt ein Admin-Passwort sein, das wäre jetzt auch nicht das erste Mal dass so was vorkommt aber in dem konkreten Fall hier war's jetzt so, dass tatsächlich das administrative Portal auch mitgeliefert worden ist."
  },
  {
    "start": 499.4,
    "end": 507.52,
    "text": "Also mein Count quasi Ein Fishing-Opfer wurde im Hintergrund auch direkt immer schon das administrative Portal ausgeliefert, auch wenn er das nie gesehen hat."
  },
  {
    "start": 508.479,
    "end": 511.859,
    "text": "Die Daten sind schon auf dem Handy und die sind dann schon ausgeliefert worden."
  },
  {
    "start": 511.9,
    "end": 513.34,
    "text": "Das heißt man kann sie natürlich auch analysieren."
  },
  {
    "start": 513.559,
    "end": 516.38,
    "text": "Also du meinst die Daten von der Benutzeroberfläche für die Atmens?"
  },
  {
    "start": 516.919,
    "end": 520.52,
    "text": "Konkret ist es immer nur die Benutzeroberfläche, es ist nie das Backend was da ausgelievert wird."
  },
  {
    "start": 520.62,
    "end": 530.74,
    "text": "also es kann natürlich schon sein, das ist extrem unwahrscheinlich aber in normal Fall ist das immer die Benutzerober Fläche und die kann man sich natürlich dann auch genauer anschauen weil den Code dazu hat man ja."
  },
  {
    "start": 532.0,
    "end": 542.78,
    "text": "Das heißt das Problem hier, also Problem für die Fischer ist dass sie dir als Opfer nicht nur die Fischungseite an sich zeigen sondern auch Zumindest die Oberfläche Für."
  },
  {
    "start": 542.84,
    "end": 545.579,
    "text": "Die administrativen arbeiten hinter diesem ganzen Fishing stecken."
  },
  {
    "start": 546.079,
    "end": 546.26,
    "text": "genau"
  },
  {
    "start": 546.88,
    "end": 553.8,
    "text": "das heißt du kannst im Prinzip dann nachvollziehen Was die Tätigkeiten eines admins oder eines fischers für dieses portal sind."
  },
  {
    "start": 554.439,
    "end": 570.42,
    "text": "Genau ich kann jetzt diesen code nehmen ich da bekomme und diese ganzen Daten Und Kann zum Beispiel mithilfe von dem mittlerweile gängigen LLMs rekonstruieren, was da an Daten hin und her fließen."
  },
  {
    "start": 570.48,
    "end": 582.1,
    "text": "Und was der Server quasi können muss und kann dann einfach dieses Interface, das mir schon ausgeliefert worden ist selber starten und mehr angucken, was der Administrator sieht aber mit einem ganz wichtigen Unterschied."
  },
  {
    "start": 582.54,
    "end": 584.24,
    "text": "Da sind natürlich keine echten Daten drin."
  },
  {
    "start": 584.3,
    "end": 588.88,
    "text": "Das heißt es ist wirklich ein passives Mitschauen und einfach mal gucken was man so sehen kann."
  },
  {
    "start": 589.48,
    "end": 592.02,
    "text": "Das heißt, du kriegst in keinem Fall Daten von echten Fishing-Opfern."
  },
  {
    "start": 592.079,
    "end": 596.28,
    "text": "Sondern siehst nur was würde der Atmen auf einer logischen Ebene einsehen können?"
  },
  {
    "start": 597.38,
    "end": 599.079,
    "text": "Nicht nur logisch sondern auch auf einer optischen Ebne."
  },
  {
    "start": 599.16,
    "end": 604.16,
    "text": "also ich kann quasi mich dann Kann wirklich optisch sehen wie das für den atmen aussieht."
  },
  {
    "start": 604.22,
    "end": 605.04,
    "text": "Ich sehe alle Buttons."
  },
  {
    "start": 605.12,
    "end": 605.939,
    "text": "Ich seh alle Texte."
  },
  {
    "start": 606.12,
    "end": 613.24,
    "text": "Ich sehe popups Ich kann ganz normal wie quasi der atmen arbeiten nur Ich habe halt keine echten Nutzerraten dahinter."
  },
  {
    "start": 613.78,
    "end": 616.3,
    "text": "und was hast Du denn über die arbeitsweise von den fischern rausgefunden?"
  },
  {
    "start": 616.88,
    "end": 617.06,
    "text": "Genau."
  },
  {
    "start": 617.199,
    "end": 626.88,
    "text": "Und das Interessante in dem Fall hier, den wir uns jetzt hier angeschaut oder angeschauen haben ist dass Hier tatsächlich ja diese Anrufe passiert sind."
  },
  {
    "start": 626.98,
    "end": 634.5,
    "text": "und was man an diesem interface wunderbar erkennen konnte war Dass der admin einerseits versucht hat so ein bisschen die anmeldemasken zu verschleiern."
  },
  {
    "start": 636.52,
    "end": 642.26,
    "text": "Das heißt er hat nicht einfach slash admin oder slash login gemacht sondern zufällige Zeichenketten."
  },
  {
    "start": 643.98,
    "end": 649.22,
    "text": "Lustigerweise sind die halt natürlich auch dann in dem Frontend-Code natürlich auch enthalten."
  },
  {
    "start": 649.26,
    "end": 650.56,
    "text": "Das heißt, man kann sie auch auslesen."
  },
  {
    "start": 651.04,
    "end": 652.62,
    "text": "Dementsprechend war es jetzt nicht ganz sinnvoll."
  },
  {
    "start": 652.74,
    "end": 660.92,
    "text": "aber der Punkt ist eigentlich... Die erste Feststellung, die wir gemacht haben, war Es gibt zwei administrative Dashboards und zwei administrative Logins."
  },
  {
    "start": 661.579,
    "end": 663.9,
    "text": "Okay und das Erste war dann irgendwie versteckt?"
  },
  {
    "start": 664.28,
    "end": 670.439,
    "text": "Man muss ja ein bisschen die Zeichenkette kennen um da drauf zuzugreifen Und dann hatte man den einen Login und der andere war eine andere Zeichenkette."
  },
  {
    "start": 671.04,
    "end": 671.88,
    "text": "Aber warum gibt's zwei?"
  },
  {
    "start": 672.199,
    "end": 674.319,
    "text": "Genau und der Punkt ist gar nicht, dass es versteckt ist."
  },
  {
    "start": 674.38,
    "end": 678.699,
    "text": "Das ist eigentlich nur ganz lustig und komisch weil versteckt das ist ja eigentlich gar nicht so wirklich."
  },
  {
    "start": 681.1,
    "end": 685.64,
    "text": "Der Punkt ist eher, dass Es Zwei sind und der eine ist tatsächlich der normale administrative login."
  },
  {
    "start": 685.78,
    "end": 691.9,
    "text": "Und dann gibt es noch einen zweiten komplett getrennten login und des isst er sogenannte caller log in oder scholar dashboard."
  },
  {
    "start": 693.28,
    "end": 704.079,
    "text": "und Wenn man sich dann dieses ganze systema genau anschaut stellt man fest Dass wenn jetzt jemand gefischt wird Da taucht er bei dem Administrator in seinem tollen Dashboard auf, ist auch wirklich schön gemacht."
  },
  {
    "start": 704.52,
    "end": 706.959,
    "text": "Mit ganz vielen bunten Buttons und dann kann da ganz viele Sachen machen."
  },
  {
    "start": 707.02,
    "end": 718.48,
    "text": "oder werden auch die ganzen Zugangsdaten angezeigt und die ganzen Adress-Daten, die da eingegeben worden sind und Telefonnummer und Passwörter und Co.. Und der admin kann dann sagen okay ich habe das geprüft!"
  },
  {
    "start": 718.76,
    "end": 719.4,
    "text": "Ich finde es super!"
  },
  {
    "start": 719.86,
    "end": 729.6,
    "text": "Ich delegiere das jetzt an einen meiner Caller so heißen diese Leute die dann auch tatsächlich anrufen bei den Fishing Opfer zu dem vereinbarten Zeitraum wenn der admin sagt dass passt"
  },
  {
    "start": 730.14,
    "end": 731.819,
    "text": "Und dann hast du dir das Caller-Dashboard angeschaut."
  },
  {
    "start": 731.86,
    "end": 736.52,
    "text": "Genau, und da haben wir uns das Callersport angeschauert... ...und dann auch festgestellt wie das funktioniert."
  },
  {
    "start": 736.579,
    "end": 739.459,
    "text": "Das ist viel rudimentärer aber auch ganz interessant!"
  },
  {
    "start": 740.04,
    "end": 746.38,
    "text": "Und im Prinzip kann man da feststellen dass diese Caller wirklich also es gibt dann einfach mehrere Benutzer die nichts anderes tun als Leute anrufen."
  },
  {
    "start": 747.92,
    "end": 752.14,
    "text": "Die können dann diese Leute anrufen und dann einen Zustand und einen Titel hinterlegen."
  },
  {
    "start": 752.199,
    "end": 766.14,
    "text": "Also zum Beispiel wortwörtlich gibt's da den Zustand stressig oder macht Stress oder macht mit Mailbox oder nicht erreichbar, also alle möglichen so bisschen umgangssprachlich formulierten Wörter."
  },
  {
    "start": 767.26,
    "end": 771.78,
    "text": "Um halt irgendwie einen Zustand zu beschreiben was jetzt der Anrufer wie der Anruf reagiert?"
  },
  {
    "start": 772.699,
    "end": 776.64,
    "text": "Das heißt wenn du sagst es ist umgangsprache dann ist das auf Deutsch."
  },
  {
    "start": 777.6,
    "end": 781.939,
    "text": "Ja tatsächlich diese Admin-Panels haben oft einfach auch keine englische Einstellung."
  },
  {
    "start": 782.18,
    "end": 783.86,
    "text": "Das ist wirklich schlichtweg deutsch."
  },
  {
    "start": 784.76,
    "end": 788.54,
    "text": "Das heißt wir können daraus schließen dass das deutsche Gruppen sind die hier dieses Fishing vornehmen."
  },
  {
    "start": 789.38,
    "end": 791.26,
    "text": "Ich würde davon ausgehen, dass das deutsche Gruppen sind ja."
  },
  {
    "start": 791.6,
    "end": 796.26,
    "text": "Also auch die Telefonanrufer, die dann da im Zweifel agieren, die sprechen auch alle Deutsch."
  },
  {
    "start": 796.98,
    "end": 800.579,
    "text": "Das heißt wir können jetzt daraus schließen, dass sie halt sehr strukturiert vorgehen bei den Anrufen."
  },
  {
    "start": 800.62,
    "end": 800.72,
    "text": "D.h.,"
  },
  {
    "start": 800.92,
    "end": 804.6,
    "text": "Sie klassifizieren Ihre Opfer quasi danach wie kooperativ Sie sind?"
  },
  {
    "start": 804.959,
    "end": 815.9,
    "text": "Sie schauen mal, bei wem sich es lohnt nochmal anzurufen wer vielleicht gar nie rangeht und können dann daraus ableiten ob sich's vielleicht lohnt noch einmal anzurufen und es solange zu wiederholen bis am Ende dann man Erfolg hat und vielleicht die Credentials für den MFA bekommt."
  },
  {
    "start": 816.54,
    "end": 817.48,
    "text": "Genau, zum Beispiel."
  },
  {
    "start": 817.72,
    "end": 819.88,
    "text": "Also so kann man das denke ich sehen."
  },
  {
    "start": 819.939,
    "end": 837.54,
    "text": "also erstens dass es eine Arbeit steilige vorgehensweise ist schon organisiert oder das ist jetzt nicht nur ein zwei Mann Betrieb und Man sieht halt auch und das ist so ein bisschen versteckt dass man tatsächlich auch also das der angreifer tatsächlich auch diese Spezielles Material anfordern kann."
  },
  {
    "start": 837.68,
    "end": 843.4,
    "text": "zum Beispiel wenn so eine weit zweite Webmaske, um Aktivierungsbriefe hochzuladen die man von der Bank bekommt."
  },
  {
    "start": 843.459,
    "end": 848.48,
    "text": "also oftmals bis vor kurzem war es bei vielen Banken so dass man Briefe bekommen hat."
  },
  {
    "start": 849.079,
    "end": 851.959,
    "text": "Wenn man das Konto erstellt hat und eingerichtet hat."
  },
  {
    "start": 852.12,
    "end": 865.079,
    "text": "Und auch später, wenn man das Handy getauscht hat oder neu einrichten musste oder irgendwas geupgraded wurde, dann hat man diese Briefe bekommen wo QR-Cards drauf sind... ...und die sind oftmals bis vor ein paar Monaten bei vielen Banken sehr lange gültig gewesen!"
  },
  {
    "start": 865.62,
    "end": 866.62,
    "text": "Und hat man sie gehabt?"
  },
  {
    "start": 866.86,
    "end": 870.04,
    "text": "Auch als Angreifer und den Nutzer eben aufgefordert die hochzuladen."
  },
  {
    "start": 870.76,
    "end": 878.6,
    "text": "Dann kann man sich so einen Multifaktorgerät selber hinzufügen kommt aber alles auf bisschen auf die Bank und die Filiale an."
  },
  {
    "start": 879.34,
    "end": 881.199,
    "text": "Das war dann auch so ein Punkt, den wir entdeckt haben."
  },
  {
    "start": 881.62,
    "end": 900.06,
    "text": "Dass das tatsächlich auch noch Teil dieser Kampagne ist, dass ein Anrufer das dann auch noch dynamisch quasi triggern kann also er kann im Prinzip so eine Welle stellen und dem der Opfer zusätzlich zukommen lassen beispielsweise nochmal als zweiter SMS während des Telefonats um dann eben diesen Brief anzufordern um später selber so ein Gerät hinzuzufügen."
  },
  {
    "start": 900.8,
    "end": 900.98,
    "text": "Cool!"
  },
  {
    "start": 901.38,
    "end": 907.68,
    "text": "Das Ding ganz schön aufwendig aber ganz schön strukturiert es krass wie... wie weit die Arbeitsteilung da hinten abläuft."
  },
  {
    "start": 908.06,
    "end": 917.199,
    "text": "Und das dann aber auch noch erzählt, dass nicht mal die Plattform von den Fischern selbst erstellt wird sondern dass es quasi auch eher ein Software as a Service Modell ist."
  },
  {
    "start": 917.98,
    "end": 919.0,
    "text": "Hast du das rausgefunden?"
  },
  {
    "start": 919.439,
    "end": 921.459,
    "text": "Genau also die sind auch sehr modern unterwegs."
  },
  {
    "start": 922.16,
    "end": 925.88,
    "text": "Erstens ist das alles... fast immer hinter Cloudflare gehostet."
  },
  {
    "start": 925.939,
    "end": 934.6,
    "text": "Das ist leider mittlerweile relativ normal auch hinter Captures, sodass halt automatisiertes Scanlösung das nicht so richtig erkennen können oder nur unter gewissen Bedingungen."
  },
  {
    "start": 936.48,
    "end": 947.84,
    "text": "und andererseits ist es auch so dass man erkennen kann, dass diese Portale über viele Kampagnen hinweg verwendet werden und auch über größere Zeiten hinweg."
  },
  {
    "start": 947.9,
    "end": 951.459,
    "text": "Und immer wieder weiterentwickelt werden, war in unserem Fall so."
  },
  {
    "start": 951.819,
    "end": 959.14,
    "text": "Wir konnten feststellen, dass genau die gleiche Plattform jetzt über die letzten drei, vier Monate einige Male verwendet worden ist... Jetzt"
  },
  {
    "start": 959.18,
    "end": 963.52,
    "text": "haben wir ja gesehen, dass es eine Arbeitsteilung zwischen dem Fischer- und dem Caller gibt?"
  },
  {
    "start": 964.34,
    "end": 967.56,
    "text": "Hat der Fischer dann die Plattform selbst betrieben oder ist da noch mal eine Arbeitesteilung?"
  },
  {
    "start": 968.64,
    "end": 973.4,
    "text": "Also ob der Fisher tatsächlich die Platform selber betreibt weiß ich nicht so genau."
  },
  {
    "start": 973.52,
    "end": 974.8,
    "text": "das kommt auch ein bisschen drauf an."
  },
  {
    "start": 975.04,
    "end": 978.72,
    "text": "aber fakt ist dass man diese plattformen einkaufen kann."
  },
  {
    "start": 978.78,
    "end": 988.92,
    "text": "also das ist ein bischen saas also wirklich modern gebaut dass man oder das angreifer solche platform einfach im online kaufen kann."
  },
  {
    "start": 989.98,
    "end": 991.6,
    "text": "dann werden die oft schon bereit gestellt."
  },
  {
    "start": 991.68,
    "end": 1002.88,
    "text": "es ist dann auf zu einer wöchentliche oder monatliche rater so eigentlich fast schon son abo prinzip und ist es dem Fischer komplett überlassen, was er dann mit dieser Plattform macht."
  },
  {
    "start": 1002.98,
    "end": 1008.3,
    "text": "Oft unterstützen diese Plattformen mehrere Bankens auch hier so und auch mehrere Methoden."
  },
  {
    "start": 1008.34,
    "end": 1014.3,
    "text": "die sind dann konfigurierbar und können den dann auch über verschiedene Wege also den Angreifer benahrichtigen wenn jemand geklickt hat."
  },
  {
    "start": 1014.84,
    "end": 1018.319,
    "text": "Also da gibt das alle möglichen verschiedenen Möglichkeiten."
  },
  {
    "start": 1019.92,
    "end": 1022.06,
    "text": "Aber auch hier ist es tatsächlich so."
  },
  {
    "start": 1022.459,
    "end": 1028.68,
    "text": "Das kann man sehen, dass das was eingekauft ist in dem Sinne oder was angemietet ist weil es auch tatsächlich Lizenzen gibt."
  },
  {
    "start": 1029.54,
    "end": 1034.12,
    "text": "Das heißt du hast auch gesehen, dass quasi die gleiche Plattform noch woanders gibt und da auch betrieben wird?"
  },
  {
    "start": 1034.22,
    "end": 1034.44,
    "text": "Genau!"
  },
  {
    "start": 1034.56,
    "end": 1038.42,
    "text": "Man kann tatsächlich auch die Kunden auseinanderhalten also die Angreifer sozusagen."
  },
  {
    "start": 1040.36,
    "end": 1049.46,
    "text": "Und da haben wir auch sehen können, dass durchaus genau konkret dieser angreifer von dem, wo wir uns das jetzt angeschaut haben, auch noch ein zwei Instanzen mehr gekauft hatte zum gleichen Zeitpunkt."
  },
  {
    "start": 1050.18,
    "end": 1052.64,
    "text": "Ok, jetzt gehen wir nochmal kurz zum gefischten."
  },
  {
    "start": 1052.74,
    "end": 1053.96,
    "text": "also zu dir noch mal zurück."
  },
  {
    "start": 1055.18,
    "end": 1059.8,
    "text": "du hast ja den Schritt mit ich laute meinen Brief hoch nicht mehr mitgemacht leider."
  },
  {
    "start": 1059.86,
    "end": 1061.56,
    "text": "das heißt da wissen wir nicht genau was am Ende passiert ist."
  },
  {
    "start": 1061.86,
    "end": 1065.7,
    "text": "aber was passiert denn üblicherweise wenn die Angreifer dann dein Konto übernehmen?"
  },
  {
    "start": 1066.26,
    "end": 1068.94,
    "text": "Also es gibt mehrere Wege was da passiert."
  },
  {
    "start": 1070.04,
    "end": 1075.14,
    "text": "also ganz klassisch könnte man natürlich per sofortüberweisung dann Geld überweisen vorn im Konto weg."
  },
  {
    "start": 1075.96,
    "end": 1079.88,
    "text": "Das ist so, dass eine was passiert weil wir sofort Überweisung nicht so einfach rückholbar sind."
  },
  {
    "start": 1081.02,
    "end": 1084.38,
    "text": "Was auch gerne passiert ist das den Zufügen von Apple Pay und Google Pay."
  },
  {
    "start": 1085.88,
    "end": 1100.44,
    "text": "Das ist aber mittlerweile auch schwieriger geworden, weil es eben ne bekannte Methode is oder... ...was auch passieren kann sind das Kreditkarten oder also ne zweite Kredit-Karte oder ne zweite Giro-Kart halt beantragt werden."
  },
  {
    "start": 1102.62,
    "end": 1103.16,
    "text": "Aber virtuell!"
  },
  {
    "start": 1103.68,
    "end": 1103.86,
    "text": "D.h.,"
  },
  {
    "start": 1105.3,
    "end": 1105.9,
    "text": "Die kommen nicht"
  },
  {
    "start": 1105.98,
    "end": 1106.36,
    "text": "bei mir in den"
  },
  {
    "start": 1107.42,
    "end": 1107.86,
    "text": "Briefkasten."
  },
  {
    "start": 1107.9,
    "end": 1110.74,
    "text": "Das wäre natürlich ein bisschen blöd, weil naja wie kommt der Angreifer jetzt da dran?"
  },
  {
    "start": 1111.64,
    "end": 1118.94,
    "text": "Genau das sind dann alles virtuelle Sachen und dann versucht man halt irgendwie Geld abzuheben also an Geldautomaten oder an Supermärkten und Co."
  },
  {
    "start": 1119.12,
    "end": 1127.86,
    "text": "Also da gibt es alle möglichen Varianten die dann passieren können Und egal was passiert üblicherweise ist dann leider so dass für das Opfer relativ teuer wird."
  },
  {
    "start": 1128.92,
    "end": 1132.66,
    "text": "Du hast wir haben ja vorhin schon mal das Thema mit den Postleitzahlen gehabt."
  },
  {
    "start": 1133.62,
    "end": 1143.08,
    "text": "Es ist nicht für die Fischer wahnsinnig aufwendig, dass es hier diese vielen regionalen Filialen gibt und man da überall individuell handeln muss als Fischer weil das bei jedem irgendwie ein bisschen anders ist."
  },
  {
    "start": 1143.14,
    "end": 1150.46,
    "text": "Jeder Webseite sieht ein bisschen anderes aus und man muss dann den Lock-in für die Kreissparkasse Heilbronn anders machen als für die kreissparksasse Münster?"
  },
  {
    "start": 1151.8,
    "end": 1156.2,
    "text": "Ja also es gibt ja mehrere Lösungsansätze, die die Fischers haben."
  },
  {
    "start": 1156.52,
    "end": 1164.88,
    "text": "Manche tun das wirklich mit modernen Techniken meine Mittelproxien pro Filiale weil die ja immer ein bisschen anders aussehen."
  },
  {
    "start": 1165.5,
    "end": 1180.78,
    "text": "Und manche haben dann halt einfach einen zentralen Login, aber es spielt den auch in die Hände, auch wenn sie damit erstmal mehr Aufwand haben, weil es natürlich für jede dieser Filialen einen eigenen Web-Login gibt also eine eigene Website und eine eigene Domäne."
  },
  {
    "start": 1181.56,
    "end": 1193.36,
    "text": "Die sind jetzt nicht systematisch benannt, teilweise sind das Domänen, die super lokal benannt sind ... lokalen Kürzel im Namen oben haben in der Domäne."
  },
  {
    "start": 1194.08,
    "end": 1210.52,
    "text": "Und manchmal ist es halt ein zentraler Log-In, das heißt für Nutzer die jetzt einfach einen Link zugeschickt bekommen... ...der erst mal auf den allerersten Blick irgendwie plausibel zu ihrer lokalem Filiale oder zur Allgemein der Bank zuordnenbar ist,... ...ist das nicht einmal so... Ist das eigentlich hilfreich?"
  },
  {
    "start": 1210.66,
    "end": 1215.5,
    "text": "Weil die Nutzer vielleicht selber nicht mehr wissen welche Domänen überhaupt richtig sind und wo man sich dann wirklich anmelden würde!"
  },
  {
    "start": 1216.68,
    "end": 1222.34,
    "text": "Also die Verwirrung, die quasi dadurch entsteht, dass es so viele Filialen gibt wird halt indirekt und ausgenutzt."
  },
  {
    "start": 1222.38,
    "end": 1224.96,
    "text": "bislang hilft den Angreifer an der Stelle."
  },
  {
    "start": 1226.0,
    "end": 1226.88,
    "text": "Okay das klingt nachvollziehbar."
  },
  {
    "start": 1226.92,
    "end": 1239.3,
    "text": "Das heißt am Ende ist es für die Nutzer einfach... Es gibt so viele Banken, es ist völlig unklar welche Bank welche Domänen hat und welches die richtige wäre weil es keine Systematik dahinter steckt, dass die Angreifahl einfach irgendwelche Domänennamen sich ausdenken können, die dann für den Benutzer plausibel erscheinen."
  },
  {
    "start": 1239.82,
    "end": 1244.04,
    "text": "Richtig, also es gibt ja viele große Banken da ist das natürlich dann sehr klar."
  },
  {
    "start": 1244.14,
    "end": 1255.04,
    "text": "Das ist für alle immer der gleiche Login und die haben zwar mehrere Filialen aber das läuft alles über ein System und sieht auch optisch für den Nutzer und auch Domain-Technik ist das alles identisch."
  },
  {
    "start": 1255.8,
    "end": 1267.24,
    "text": "Und dann gibt es halt Banken wo das Profiliale individuell gemacht wird und Proregion und da ist es dann eben sehr schwierig und das ist tatsächlich so ein relativ deutsches Ding."
  },
  {
    "start": 1267.28,
    "end": 1268.2,
    "text": "Das"
  },
  {
    "start": 1269.08,
    "end": 1271.88,
    "text": "heißt das führt dazu, dass es in Deutschland vielleicht ein bisschen einfacher ist."
  },
  {
    "start": 1272.58,
    "end": 1274.26,
    "text": "Vielleicht ist das in Deutschland deswegen einfacher?"
  },
  {
    "start": 1274.34,
    "end": 1276.16,
    "text": "Ja sehr spannend Felix."
  },
  {
    "start": 1276.26,
    "end": 1278.84,
    "text": "gibt's noch irgendwas was du erzählen möchtest was du denkst?"
  },
  {
    "start": 1279.4,
    "end": 1281.9,
    "text": "das war hier in dem fall auch noch interessant."
  },
  {
    "start": 1283.52,
    "end": 1284.66,
    "text": "oder sind wir am ende angekommen?"
  },
  {
    "start": 1284.86,
    "end": 1284.92,
    "text": "ich"
  },
  {
    "start": 1284.96,
    "end": 1290.04,
    "text": "glaube wir nähern uns so langsam im Ende was natürlich noch ganz interessant dass das falls eine Kampagne die wir gesehen haben."
  },
  {
    "start": 1291.42,
    "end": 1296.3,
    "text": "Man kann das auch in allen möglichen Varianten für viele andere Banken beobachten."
  },
  {
    "start": 1296.46,
    "end": 1298.52,
    "text": "Wir haben das jetzt konkret bei einer Bank so gesehen."
  },
  {
    "start": 1299.72,
    "end": 1305.06,
    "text": "Jeder dieser Systeme ist immer ein bisschen unterschiedlich gestrickt, manche können mehr und manche weniger."
  },
  {
    "start": 1305.12,
    "end": 1308.04,
    "text": "Manche testen die Zugangsdaten im Hintergrund, mancher nicht."
  },
  {
    "start": 1309.56,
    "end": 1313.56,
    "text": "Maniche fragen zusätzlich noch Paypal-Daten ab oder so klarer Daten."
  },
  {
    "start": 1314.64,
    "end": 1316.66,
    "text": "Da gibt es alle möglichen Kombinationen."
  },
  {
    "start": 1316.72,
    "end": 1330.26,
    "text": "aber irgendwie... Das was am Nutzer der Nutzer nachher bekommt um aufgefordert werden irgendwas zu machen also als sms beispielsweise ist immer irgendwie das was aktualisiert werden muss, dass etwas abgelaufen werden muss."
  },
  {
    "start": 1330.48,
    "end": 1331.76,
    "text": "Dass halt immer irgendwas dringend ist."
  },
  {
    "start": 1331.84,
    "end": 1341.08,
    "text": "es heißt wenn man diese sms kriegt das ist eigentlich mittlerweile davon auszugehen dass das so eigentlich hundert prozent die banken waren ja schon davor eigentlich immer quatsch ist"
  },
  {
    "start": 1341.58,
    "end": 1341.9,
    "text": "wunderbar."
  },
  {
    "start": 1342.16,
    "end": 1342.78,
    "text": "vielen dank felix."
  },
  {
    "start": 1343.42,
    "end": 1344.58,
    "text": "wunderbar danke benny."
  },
  {
    "start": 1345.3,
    "end": 1346.24,
    "text": "Ja, vielen Dank, Benni."
  },
  {
    "start": 1346.38,
    "end": 1347.22,
    "text": "Vielen Dank Felix!"
  },
  {
    "start": 1347.74,
    "end": 1350.82,
    "text": "Das war die fünfte Folge unseres IT Security Podcasts."
  },
  {
    "start": 1350.88,
    "end": 1359.06,
    "text": "Wenn Sie sich weiter informieren möchten schauen sie gerne rein auf www.chiroseck.de und seien sie gespannt auf die nächste Folge."
  }
]