Cybercrime

Dieter Kochheim, Cybercrime - 66 -B.1 4. Vorgehen des Social EngineersSven Vetsch 408 beschreibt das Vorgehen beimSocEng in sechs typischen Schritten: InformierenInformationen über das Ziel der SocEng-Attackesammeln, z.B. Im Internet oder per „Dumpster diving“,also das Durchwühlen von Abfällen auf derSuche nach betriebsinternen Informationen wieOrganigramme, Telefonverzeichnisse, persönlicheAufzeichnungen. Andere öffentliche Quellen sindz.B. Bibliotheken, Patentschriften, Museen und öffentlicheAuftritte auf Messen. Kontakt aufbauenmit Anruf, persönlichem Besuch, Brief, E-Mail,Newsgroup, Weblog. Vortäuschung einer IdentitätIn eine andere Rolle schlüpfen, z.B. als Vorgesetzterder Kontaktperson, als Endanwender, alsKunde oder als Interviewer bei einer Telefonumfrage. Zielinformationen erarbeitenSich durch verschiedene Fragen an die Zielinformationenherantasten. Beispiele: Ich bin neu in der Systemverwaltung und mussIhre Anwenderdaten überprüfen. Wie war noch IhreZugangskennung? Und das Passwort? Hier arbeitet doch die Frau Sowieso (Informationaus einem Organigramm aus dem Vorjahr).Arbeitet die hier gar nicht mehr? Hier Meier, PI Garbsen. Ich habe von meinemKollegen den Vorgang wegen des Verkehrsunfalls(dort und dort) übernommen. Ist der Vorgang mitdem Führerschein schon bei Ihnen? Kontakt haltenWenn man die Zielinformationen hat, soll man denKontakt möglichst nicht “verlieren“. Die Kontaktpersondarf nicht merken, dass sie sensibleDaten an einen Social Engineer weitergegebenhat. Gute Kontakte kann man immer wieder verwenden.Der Zugang zu ihm ist leichter, weil man408Sven Vetsch, Social Engineering, 21.01.2006,disenchant.ch; nicht mehr verfügbar.auf die zurückliegenden Kontakte Bezug nehmenkann und die Kommunikation bereits vertraut ist.Der geschickte Angreifer lässt dabei auch immerwieder persönliche Informationen einfließen, dieer bei den früheren Kontakten gesammelt hat. Informationen zusammensetzenDie Teilantworten müssen sinnvoll miteinanderkombiniert werden. Meistens hat man nur nachTeilinformationen gefragt und auch nur solche erhalten.Sie mögen noch so banal erscheinen,können jedoch häufig zu sensiblen Informationenverbunden werden.Der Social Engineer ist ein intellektueller Angreifer.Er muss nicht nur über Einfühlungsvermögenverfügen, sondern auch gebildet sein. Er musssein Handwerk verstehen. Dazu gehören nichtnur Kenntnisse über die Zielorganisation, sondernauch über die Sprach- und Handlungsgewohnheitenihrer Mitarbeiter. Schließlich muss der SocialEngineer die Informationen, die er erhalten hat,bewerten, verbinden und wieder feinfühlig bewertenund hinterfragen.Das ist ein kriminalistisches Vorgehen, das identischmit der Prüfung des Verdachts 409 im Zusammenhangmit Straftaten ist.B.1 5. noch einmal: Security JournalDas Security Journal - SJ 410 - befasst sich mit derheimtückischsten und allgegenwärtigen Bedrohung– dem Social Engineering 411 . McAfee istkein Consulter für die Unternehmensorganisation,sondern ein Anbieter von Sicherheits- und Anti-Malware-Software. Seine Aussage überrascht,weil sie so gar nichts mit dem Vertrieb desUnternehmens zu tun hat.McAfee's Blickrichtung ist jedoch eine andere alsdie von Mitnick oder Veitsch, weil die Studie dietechnischen Angriffsszenen in den Vordergrundstellt und dann erst nach den betrügerischenStrategien fragt, mit denen sie umgesetzt werden.409CF, Verdacht, 2008; CF, Geltung von Beweisen undErfahrungen, 29.11.2009.410McAfee, Security Journal. Social Engineering,05.10.2008411SJ, S. 3