Citli sei Dank oder doch die Citibank?

Posted on April 14th, 2006 by Reiner.
Categories: Deutsch, Crime.

citilogo.gifPhishing Mails gibt’s öfter, aber die von gerade eben ist lustig!

Der Trick - wie fast immer - eine HTML-Mail, die ein Link anzeigt, aber beim Klicken mit der Maus einen anderen Link ausführt:

Angezeigt:
https://citibusinessonline.da-us.citibank.com/cbusol/signon.do

Ausgeführt:
http://citibusinessonline.da-us.citlidank.com/cbusol/signon.do?
rid=77784566697E73797C3678696A336A

Orginal und Fälschung unterscheiden sich durch drei Details. Hier ihre Bedeutung:

  1. http statt https - Die Verbinung ist nicht gesichert, der Webserver kann im Browser nicht identifiziert werden.
  2. citlidank statt citibank - Nomen est Omen? citlidank.com gehört einem Herrn Steve Rogers. Das ist in etwa vergleichbar mit Karl Meier in Deutschland. Auf die Angabe seiner Anschrift und Telefonnummer verzichte ich hier, denn die sind mit Sicherheit auch alle frei erfunden, aber wenn man bei Google nach seiner Telefonnumer und seiner Straße sucht, zeigt Google als erste Fundstelle Episcopal Charities - San Francisco Parishes an.
  3. Der ?rid=777… Teil erlaubt es dem Server der Citlidank nach dem Anmelden mit Ihren treudoof eingetippten Zugangsdaten (und womöglich gleich zwei TANs dazu - um die Sicherheit zu erhöhen) Sie mit Ihrer Email-Adresse anzusprechen und sich ggf. auch noch artig per EMail für Ihre Spenden zu bedanken.

Und dann gibt es noch eine Bosheit: In der Mail treten sinnlose Buchstabenkombinationen auf, die in der Originalmail weiß und daher unsichtbar sind, da sie sich nicht vom Hintergrund unterscheiden. Mein educated guess ist, dass jede verschickte Mail anderen zufälligen Blödsinn enthält, um so unerkannt an Spam-Filtern vorbei zu kommen (wie auch z.B. an meinem Outlook 2003).

Als Marginalien fallen noch der Schreibfehler “updrade” statt “upgrade” und das Filser-Englisch “…and could not be replyed” auf und last-not-least die mit Sicherheit diesmal nicht gelogene Formulierung “…also to simplify some processes” - ein Gauner mit Humor :-)

Hier die Mail in voller Schönheit (und die sonst unsichtbaren weißen Zeichen in grau):

From: CitiBusiness Department Security Service
[mailto:securityservice@citibusinessonline.com]
Sent: Thursday, April 13, 2006 11:27 PM
To: Reiner Saddey
Subject: CitiBank Bank security system update alert
Importance: High            

citilogo.gif
cblogo.gif

Dear CitiBank Member,       

We are looking forward to your assistance and understanding and inform you about new CitiBusiness® department system updrade performed by security management team in order to protect our clients from increased online fraud activity, unauthorized account access, illegal money withdrawal and also to simplify some processes.
0ML42PXRSFT97FYUMEZWJXSGV9EDPEM982M0LD4YF1JEQ78PQY9LRP653XW7XFZH
The new updated technologies guaranty convenience and safety of CitiBusiness® account usage. New services for your account will be effective immediately after an account confirmation process by a special system activation application.
M496GHKCZYQ2Y1FVT9X02OMUDLAEFA23AHIH1LPSEDAE88A5S1F8144OMYVJ3FLU5RYA
To take an advantages of current updrade you should login your account by using CitiBusiness® Online application. For the purpose please follow the reference:

https://citibusinessonline.da-us.citibank.com/cbusol/signon.do

Please note that changes in security system will be effective immediately after relogin.
TFMLRWESHV2R195X11G54G5ETXOWS9K76IQXSCVGS9ESX5DNZEG
Current message is created by our automatic dispatch system and could not be replyed. For the purpose of assistance, please use the “User Guide” reference of an original CitiBusiness® website.
XZW61XPD449WJGU1Y8WR6HZAEG7EQUGNJ0949AXPEH06LPDO04L39PENPTBBJCANNM
Sincerely yours,
CitiBusiness® Security Management Team.
0J7M4O5KVA3DSONA0M79VUNOOH3FSY3BNOT5EG9UAD09F3JTCF7Q6B8K4BT7QM4NKKTLNR

  

1 comment.

ana

Comment on April 29th, 2006.

das wäre doch auch ein guter tipp für die armen deutschen kirchengemeinden…ANA

Leave a comment

Comments can contain some xhtml. Names and emails are required (emails aren't displayed), url's are optional.