Report: Phoneypot – Das Framework gegen Phisher

Wie Phoneypot arbeitet

Das Phoneypot-Framework hat die Aufgabe, die abgefangenen Daten zu identifizieren und einen digitalen Fingerabdruck des Phishers zu erstellen. Zusätzlich sollen Daten so gesammelt werden, dass sie bei einer forensischen Analyse genutzt werden können.

Sobald dem Projekt einen Seite bekannt wird, die Kontodaten sammelt, werden sogenannte Phoney-Token an diese Seite übergeben. Dabei handelt es sich um speziell erstellte Nutzerdaten, die in der Datenbank des Banksystems hinterlegt sind. Nutzt ein Phisher nun eins dieser Token, kann das System dieses identifizieren.

Abwehr: Das Diagramm zeigt auf, wie Phishing-Angriffe erkannt und verhindert werden, während legale Transaktionen nicht behindert werden. (Quelle: Dominik Birk)
Abwehr: Das Diagramm zeigt auf, wie Phishing-Angriffe erkannt und verhindert werden, während legale Transaktionen nicht behindert werden. (Quelle: Dominik Birk)

Gleichzeitig wird es möglich, einen digitalen Fingerabdruck des Phishers zu erzeugen, in den Charakteristika aus den OSI-Layern 3-7 und verschiedene dienstspezifische Daten einfließen. Dadurch entsteht die sogenannte Phishiness, ein prozentualer Wert, der die Wahrscheinlichkeit eines Phishing-Angriffs beschreibt. Je höher der Wert ist, desto eher handelt es sich also um gestohlene Nutzerdaten, mit denen ein virtueller Bankraub verübt werden soll.

Wahrscheinlichkeit: Die Phishiness berechnet sich aus mehreren Komponenten der Hard- und Software des Angreifers. (Quelle: Dominik Birk)
Wahrscheinlichkeit: Die Phishiness berechnet sich aus mehreren Komponenten der Hard- und Software des Angreifers. (Quelle: Dominik Birk)

Diese Daten lassen sich anschließend nutzen, um die Überweisungen von regulären, wirklich existierenden Konten zu prüfen. Tritt dabei ein als verdächtig aufgetretener Fingerabdruck erneut in Erscheinung, kann ein installierter Phoneypot die Überweisung automatisch stoppen oder den Angreifer in eine virtuelle Umgebung umleiten. Dort lässt sich sein Verhalten weiter beobachten, im besten Fall merkt der Phisher nichts davon.