Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

Link zu der Vergleichsansicht

Beide Seiten, vorherige Überarbeitung Vorherige Überarbeitung
Nächste Überarbeitung		 Vorherige Überarbeitung
gf_informatik:phishing [2024-02-12 13:16] – [Social-Engineering-Vektoren] hofgf_informatik:phishing [2025-02-04 12:24] (aktuell) – [Aufgabe B – Plant eure eigene Attacke] hof
Zeile 75: Zeile 75:
  
 ==== Baiting ==== ==== Baiting ====
-Das klassische Baiting ("Ködern") mit physikalischen Datenträgern wie CD-ROMs oder USB-Sticks war verbreiteter, als diese noch öfter in Gebrauch waren, aber [[https://www.inside-it.ch/de/post/fin7-bande-verschickt-usb-sticks-mit-ransomware-20220111|kommt auch]] [[https://www.ncsc.admin.ch/ncsc/en/home/aktuell/im-fokus/2023/cybertipp-rubberducky.html|2023 noch vor]]. Die Idee: Die Betrüger:innen, die sich beispielsweise Zugang zum IT-System einer bestimmten Firma verschaffen wollen, verteilen beispielsweise schöne neue USB-Sticks in der Nähe des Firmengeländes. +Das klassische Baiting ("Ködern") mit physikalischen Datenträgern wie CD-ROMs oder USB-Sticks war verbreiteter, als diese noch öfter in Gebrauch waren, aber [[https://www.inside-it.ch/de/post/fin7-bande-verschickt-usb-sticks-mit-ransomware-20220111|kommt auch]] [[https://www.ncsc.admin.ch/ncsc/en/home/aktuell/im-fokus/2023/cybertipp-rubberducky.html|heute noch vor]]. Die Idee: Die Betrüger:innen, die sich beispielsweise Zugang zum IT-System einer bestimmten Firma verschaffen wollen, verteilen beispielsweise schöne neue USB-Sticks in der Nähe des Firmengeländes. 
-Oder sie lassen an geeignetem Ort eine CD liegen, die zum Beispiel mit "Lohntabelle 2023" beschriftet ist. Einige Mitarbeitende, erfreut über das neue Gerät oder überaus neugierig auf die vermuteten Informationen, verbinden den USB-Stick mit ihrem PC am Arbeitsplatz oder legen dort die CD-ROM ein. Wenn Sie Dateien, die die Hacker:innen darauf platziert haben, öffnen, installieren sie Programme auf einem PC, der in das interne Netzwerk der Firma eingebunden ist. So können sich die Hacker:innen Zugang zu firmeninternen Informationen verschaffen und die IT-Sicherheit von innen angreifen. +Oder sie lassen an geeignetem Ort eine CD liegen, die zum Beispiel mit "Lohntabelle 2025" beschriftet ist. Einige Mitarbeitende, erfreut über das neue Gerät oder überaus neugierig auf die vermuteten Informationen, verbinden den USB-Stick mit ihrem PC am Arbeitsplatz oder legen dort die CD-ROM ein. Wenn Sie Dateien, die die Hacker:innen darauf platziert haben, öffnen, installieren sie Programme auf einem PC, der in das interne Netzwerk der Firma eingebunden ist. So können sich die Hacker:innen Zugang zu firmeninternen Informationen verschaffen und die IT-Sicherheit von innen angreifen. 
  
 === Phishing mit QR-Codes === === Phishing mit QR-Codes ===
Zeile 88: Zeile 88:
 Entwickelt in 3er- oder 4er-Gruppen einen Plan für eure eigene Social-Engineering-Strategie. Am Ende eurer Arbeit soll eine **Videobotschaft** vorliegen, in der ihr eure Strategie den anderen Social-Hacker:innen eurer Klasse mitteilt.  Entwickelt in 3er- oder 4er-Gruppen einen Plan für eure eigene Social-Engineering-Strategie. Am Ende eurer Arbeit soll eine **Videobotschaft** vorliegen, in der ihr eure Strategie den anderen Social-Hacker:innen eurer Klasse mitteilt. 
 Geht dabei wie folgt vor: Geht dabei wie folgt vor:
-  - **Motivation und Ziele:** Überlegt und diskutiert gemeinsam, was ihr erreichen wollt. Eure Ziele können eigennützig oder gemeinnützig sein. Geld stehlen? Und an jene verteilen, die es brauchen? Gratis Produkte von Online-Händlern erhalten? Einer bestimmten Firma oder Organisation schaden, die euch unlieb ist? Anderen Kriminellen das Handwerk legen? An geheime Daten einer Organisation kommen und diese löschen – oder veröffentlichen? Etc. etc. etc. +  - **Motivation und Ziele:** Überlegt und diskutiert gemeinsam, was ihr erreichen wollt. Eure Ziele können eigennützig oder gemeinnützig sein. 
-  - **Zielpersonen, -Gruppen oder -Organisationen:** Aufgrund eures Ziels bestimmt ihr, auf wen oder was ihr eure Aufmerksamkeit richtet. +    * Gratis Produkte von Online-Händlern erhalten? 
-  - **Konzept:** Besprecht und skizziert eure Strategie auf einer Notiz (Papier oder elektronisch). **Dieses besprecht ihr mit der Lehrperson**. +    * Geld stehlen? 
 +      * Und an jene verteilen, die es brauchen? 
 +      * ... oder lieber in die Ferien fahren? 
 +    * Einer bestimmten Firma oder Organisation schaden, die euch unlieb ist? 
 +    * Anderen Kriminellen das Handwerk legen? 
 +    * An geheime Daten einer Organisation kommen und diese löschen – oder veröffentlichen? 
 +  - **Zielpersonen, -Gruppen oder -Organisationen:** 
 +    * Aufgrund eures Ziels bestimmt ihr, auf wen oder was ihr eure Aufmerksamkeit richtet. 
 +  - **Konzept:** Besprecht und skizziert eure Strategie auf einer Notiz (Papier oder elektronisch). **Besprecht sie mit der Lehrperson**. 
     * Das Konzept beschreibt die unterschiedlichen Phasen euerer Strategie: Vorbereitung, Recherche, Daten sammeln/phishen, gesammelte Daten für eine bestimmte Aktion nutzen etc.     * Das Konzept beschreibt die unterschiedlichen Phasen euerer Strategie: Vorbereitung, Recherche, Daten sammeln/phishen, gesammelte Daten für eine bestimmte Aktion nutzen etc.
     * Nutzt einen oder mehrere der oben beschriebenen Social-Engineering-Vektoren. Ihr könnt auch andere, hier nicht beschriebene Vektoren wählen.     * Nutzt einen oder mehrere der oben beschriebenen Social-Engineering-Vektoren. Ihr könnt auch andere, hier nicht beschriebene Vektoren wählen.
 +      * Dies ist der Kern der Arbeit: Wie wird Social Engineering verwendet, um an Geld oder Daten zu kommen?
     * Wenn ihr Ideen braucht: Sucht im Internet nach Social-Engineering-Tricks.     * Wenn ihr Ideen braucht: Sucht im Internet nach Social-Engineering-Tricks.
     * Werdet ihr wirklich reich? Wieviel liegt drin für jedes Teammitglied?     * Werdet ihr wirklich reich? Wieviel liegt drin für jedes Teammitglied?
       * s.a. https://www.privacyaffairs.com/dark-web-price-index-2023/       * s.a. https://www.privacyaffairs.com/dark-web-price-index-2023/
-  - **Master-Plan:** Jetzt könnt ihr euer Konzept zu einem Plan ausarbeiten, der auch die nötigen Details enthält. Solche Details sind zum Beispiel:+    * Lässt sich die Attacke **skalieren** (werdet ihr mit wenig Zusatzaufwand 10 mal reicher)? 
 +  - **Master-Plan:** Jetzt könnt ihr euer Konzept zu einem Plan ausarbeiten, der auch die nötigen _Artefakte_ enthält. Artefakte sind zum Beispiel:
     * Texte einer Phishing-Email in vollständigem Wortlaut,     * Texte einer Phishing-Email in vollständigem Wortlaut,
     * Skripte (Ansagen und mögliche Antworten) für Vishing-Gespräche,      * Skripte (Ansagen und mögliche Antworten) für Vishing-Gespräche, 
     * Bilder von Phishing-Webseiten etc.     * Bilder von Phishing-Webseiten etc.
 +    * Video-Sequenzen, die einen Teil der Operation nachspielen.
 +    * Für die Artefakte dürft ihr hemmungslos kopieren, fälschen, photoshoppen, KI-Tools benützen, was das Zeug hält.
   - **Zusammenstellung:** Zeichnet euren Plan mit den einzelnen Phasen übersichtlich auf einem **A3-Plakat** auf. Bilder oder Texte könnt ihr auch auf separaten Blättern bereithalten.    - **Zusammenstellung:** Zeichnet euren Plan mit den einzelnen Phasen übersichtlich auf einem **A3-Plakat** auf. Bilder oder Texte könnt ihr auch auf separaten Blättern bereithalten. 
   - **Videobotschaft filmen:** Nun filmt ihr das Plakat und erklärt euren Plan. Dabei könnt ihr auch Bilder oder Texte dazulegen und wieder wegnehmen. **Die Botschaft muss so gemacht sein, dass die Zuschauenden klar und deutlich verstehen, wie genau eure Strategie funktionieren soll.**   - **Videobotschaft filmen:** Nun filmt ihr das Plakat und erklärt euren Plan. Dabei könnt ihr auch Bilder oder Texte dazulegen und wieder wegnehmen. **Die Botschaft muss so gemacht sein, dass die Zuschauenden klar und deutlich verstehen, wie genau eure Strategie funktionieren soll.**
  • gf_informatik/phishing.1707743762.txt.gz
  • Zuletzt geändert: 2024-02-12 13:16
  • von hof