Check For Phishing [dot] com

Dit is een wat andere post dan normaal. In deze post wil ik het eens niet hebben over de tool van een ander. In deze post wil ik het hebben over een tool van mezelf, namelijk: https://checkforphishing.com. CheckForPhishing.com is een online tool om beter inzichtelijk te maken of je e-mailbericht een potentieel phishing bericht kan zijn. Deze post is dus geen tutorial (zo moeilijk is het niet) en ook geen review. Dit is louter en alleen een aankondiging van mijn eigen dienst en hopelijk een tip voor iedereen die weleens de vraag krijgt “kun jij eens kijken of deze e-mail legitiem is”.

Phishing is niet nieuw maar bestaat al jaren. Daarnaast is phishing een van de grootste threat vectoren van de moderne tijd. De meeste malware verspreidingen beginnen immers bij een simpele phishing e-mail. Omdat we de phishing berichten niet afdoende kunnen tegenhouden werken we binnen organisaties met zogenaamde “awareness campagnes” om mensen beter bewust te maken van hun internet gedrag zodat phishing e-mails makkelijker herkend kunnen worden. Helaas zorgt deze awareness vaak voor twijfel. En bij twijfel krijg ik dan zeer vaak de vraag “wil jij eens kijken of dit een phishing e-mail is. Sure! Echter viel mij op dat ik tijden zo’n controle meestal dezelfde stappen uitvoer. Wat staat er in de header. Wat voor soort bijlages zitten erbij, Waar verwijzen de hyperlinks in de e-mail naartoe en hoe is de e-mail opgebouwd. Zou het niet handiger zijn alsmensen simpelweg de check online konden doen? Tot mijn verbazing is er werkelijk geen enkele tool die gebruikers ondersteund bij het herkennen van een phishing e-mail. Maar nu wel!

Omdat er geen eenduidige tool bestond heb ik deze zelf ontworpen. Het idee is simpel.

1. Sleep de e-mail naar de tool
2. De tool maakt de werkelijke inhoud van de e-mail beter inzichtelijk
3. De gebruiker krijgt een aantal vragen over de e-mail en het zojuist verkregen inzicht
4. Een scorebalk laat zien hoe groot de kans is dat betreffende e-mail een phishing e-mail is

De tool heb ik gemaakt in het Engels zodat niet alleen de beste inwoners van ons landje hier plezier van kunnen ondervinden. Op deze manier kunnen gebruikers dus relatief gemakkelijk zelf kijken in hoeverre een twijfel e-mail een phishing e-mail is.

Hoe werkt de tool exact.

1. De gebruiker upload een MSG (e-mail vanuit Microsoft Outlook) of een EML (e-mail vanuit andere applicaties zoals Thunderbird en Gmail) in de checker.
2. De checker geeft inzichtelijk weer wat de header en de body is en analyseert deze.
3. De geanalyseerde content wordt getoond zodat de gebruiker de werkelijke hyperlinks, afzender en bijlages ziet die in de e-mail aanwezig zijn.
4. Nu deze bekend zijn kan de gebruiker de vragen beantwoorden die nodig zijn van een juiste analyse. De computer kan helaas niet weten of de adressering juist is en of men wel vaker e-mails van deze afzender ontvangt.
5. Na het invullen van de vragen zal de gebruiker duidelijk inzichtelijk zien hoe groot de kans is dat deze e-mail wel of niet een niet-legitieme e-mail is.

Een legitieme vraag is hoe de privacy die met deze tool gemoeid is. In short, ik bewaar slechts zeer basale gegevens van de geüploade e-mail. Dit is:

• Het onderwerp (leesbaar)
• Een hash van de header (niet omkeerbaar en dus nooit leesbaar)
• Een hash van de content (niet omkeerbaar en dus nooit leesbaar)
• Een hash van de afzender (niet omkeerbaar en dus nooit leesbaar)
• Datum en tijd van uploaden
• Statistische gegevens t.b.v. websitegebruik (Google Analytics)

Zoals je ziet worden geen leesbare gegevens bewaard die mogelijk persoonlijke informatie bevatten. De zaken die wel opgeslagen worden, worden opgeslagen om hier laten bepaalde trendanalyses op uit te voeren.

Mocht het niet mogelijk zijn voor de gebruiker om een EML of MSG bestand te genereren dan is er nog een laatste mogelijkheid om de header en body te plakken in de daarvoor aangegeven velden. De e-mail analyse werkt dan wat minder volledig (zo kunnen bijlages niet meegenomen worden voor de analyse) maar er kan nog steeds een goede inschatting gemaakt worden.

Als toekomstige uitbreiding op deze tool zou ik attachment virusscanning / malware scanning toe willen voegen. Daarnaast zou het fijn zijn om plugins te maken waarmee mensen direct hun e-mail naar de checker kunnen uploaden zonder hier eerst een MSG of EML bestand van te maken. De tool is af voor gebruik maar verre van perfect. Het kan zo eens voorkomen dat er geen analyse gemaakt kan worden doordat b.v. de opbouw van het bestand te rommelig is. Deze problemen zijn bekend en moeten ook nog aangepakt worden. CheckForPhishing.com zal echter in 95% van alle gevallen wel de juiste ondersteuning kunnen geven.

CheckForPhishing.com probeert de gebruiker de juiste handvatten te geven en om twijfel ook zonder tussenkomst van een professionele analyse weg te kunnen nemen. Iedereen kan CheckForPhishing.com gebruiken en het gebruik is uiteraard gratis. Mocht je na de analyse nog twijfelen of een second opinion willen hebben laat dan uiteraard altijd een professionele controle uitvoeren.

Ik hoop dat CheckForPhishing.com jou, je collega’s en de mensen om je heen gaat helpen en dat hiermee een betere awareness verkregen wordt en dat we met deze tool toch weer een klein beetje extra bestrijding hebben tegen alle oplichters en criminelen die phishing gebruiken om mensen af te persen en om gegevens buit te maken.

PS. Wil je graag helpen om de tool door te ontwikkelen dan ben je meer dan welkom. Stuur me even een berichtje en laat me je intentie en ideeën weten! Alle hulp is welkom. Ik ben slechts een wannabe ontwikkelaar… 🙂