Gefälschte Kalendereinladungen überfluten im Rahmen einer Phishing-Kampagne, die auf Microsoft-365-Zugangsdaten abzielt, die Posteingänge von Unternehmen. Sicherheitsforscher haben mehr als 302.386 eindeutige bösartige E-Mails identifiziert, die an über 40.000 Unternehmen gesendet wurden. Im gesamten Oktober nahm die Zahl der Angriffe zu.
Die Nachrichten tarnen Links zum Diebstahl von Zugangsdaten als gewöhnliche Meeting-Einladungen, darunter Anfragen für Microsoft Teams. Einige kommen mit Kalenderanhängen im legitimen Format und können verdächtige Termine direkt im Kalender eines Benutzers platzieren. Dadurch bleibt der Phishing-Köder möglicherweise sichtbar, selbst wenn die ursprüngliche E-Mail verschwunden ist.
Laut den Ergebnissen von Check Point vom 15. Oktober nahm die Aktivität ab dem 25. September stark zu. Die Forscher beobachteten im September mehr als 118.000 Kalender-Phishing-E-Mails und allein in den ersten beiden Oktoberwochen über 740.000.
Der 8. Oktober war mit fast 200.000 Nachrichten der geschäftigste erfasste Tag. Das Erkennungssystem von Check Point markierte bei seinen Kunden separat 302.386 eindeutige Phishing-E-Mails, die von mehr als 33.890 Absender-Domains und 247.270 Absenderadressen stammten.
Diese Zahlen beschreiben beobachtete Phishing-Aktivitäten, keine bestätigten Kontoübernahmen. Außerdem beziehen sie sich auf unterschiedliche Messgrößen: Die Zahl 302.386 steht für die von der Erkennungsebene von Check Point identifizierten eindeutigen E-Mails, während die Oktober-Gesamtzahl das gesamte Nachrichtenvolumen widerspiegelt.
So stehlen gefälschte Kalendereinladungen Microsoft-365-Zugangsdaten
Die Kampagne setzt auf vertraute Verhaltensweisen am Arbeitsplatz. Mitarbeiter nehmen regelmäßig Meeting-Einladungen an, folgen Konferenzlinks und öffnen Kalendererinnerungen, ohne sie als verdächtig einzustufen.
Angreifer machen sich dieses routinemäßige Verhalten mit zwei von Check Point identifizierten Methoden zunutze:
- Bösartige ICS-Anhänge: Die E-Mail enthält eine gültige Kalenderdatei mit einer Einladung, die den Empfänger zu einem Phishing-Ziel weiterleitet.
- Getarnte Meeting-Links: Eine Nachricht, die einer Microsoft-Teams-Einladung ähnelt, enthält einen Meeting-Link, der stattdessen zu einer Seite führt, auf der Zugangsdaten abgegriffen werden.
Keine der beiden Methoden erfordert die Ausnutzung einer Software-Schwachstelle in Microsoft 365. Der Angreifer nutzt gewöhnliche Kalenderfunktionen, um jemanden dazu zu bewegen, einem bösartigen Link zu folgen.
Die große Zahl an Absenderadressen und -Domains macht einfache Blocklisten ebenfalls weniger zuverlässig. Das Blockieren einer Adresse kann wenig bewirken, wenn nachfolgende Einladungen von einer anderen Infrastruktur eintreffen.
Der Missbrauch von Kalendern kann nach der Zustellung ein weiteres Problem verursachen. Forscher von Netcraft stellten fest, dass einige E-Mail-Clients Einladungen automatisch zu Kalendern hinzufügen – mitunter ohne dass der Empfänger die ursprüngliche Nachricht öffnet.
Je nach Client und dessen Konfiguration kann ein bösartiger Termin sichtbar bleiben, nachdem die zugehörige E-Mail gelöscht wurde. Ein Benutzer könnte später über eine Kalenderbenachrichtigung oder -erinnerung auf den Link stoßen.
Andere Kampagnen haben diese Technik noch weiterentwickelt.
Netcraft dokumentierte EvilTokens-Angriffe, bei denen Meeting-Einladungen verwendet werden, um Opfer zur Autorisierung per Microsoft-Gerätecode zu verleiten. Statt ein Passwort auf einer gefälschten Anmeldeseite einzugeben, können die Opfer dazu gebracht werden, ein vom Angreifer kontrolliertes Gerät zu autorisieren.
Diese Technik kam auch bei separaten Microsoft-365-Phishing-Operationen mit Gerätecode zum Einsatz, die legitime Authentifizierungsabläufe missbrauchen.
Mimecast dokumentierte eine weitere Variante mit manipulierten Kalenderanhängen und QR-Codes. Diese Techniken sind von der von Check Point beobachteten Kampagne unabhängig und sollten ohne entsprechende Belege nicht denselben Angreifern zugeschrieben werden.
Warum das Löschen von Phishing-E-Mails die Bedrohung möglicherweise nicht beseitigt
Bei der herkömmlichen Phishing-Bekämpfung liegt der Schwerpunkt häufig darauf, bösartige E-Mails zu identifizieren, sie aus den Postfächern zu entfernen und ihre Absender zu blockieren.
Kalendereinladungen eröffnen einen weiteren Ort, an dem der Köder bestehen bleiben kann.
Ein Termin, der das Entfernen der E-Mail überlebt, kann weiterhin die ursprüngliche Meeting-Beschreibung, eine verdächtige URL oder eine geplante Erinnerung enthalten. Ein Mitarbeiter könnte Tage später auf den Link klicken, nachdem das Sicherheitsteam davon ausgeht, dass der Vorfall eingedämmt wurde.
Dadurch entstehen zwei getrennte Aufgaben bei der Behebung: Die bösartige Nachricht muss entfernt und geprüft werden, ob ein entsprechender Kalendereintrag existiert.
Sicherheitsteams, die betroffene Microsoft-365-Konten untersuchen, sollten relevante Kalender prüfen, einschließlich Terminen, die durch verdächtige externe Einladungen erstellt wurden. Außerdem sollten sie überprüfen, ob Benutzer eingebetteten Links gefolgt oder unerwartete Authentifizierungsanfragen genehmigt haben.
Die Risiken unterscheiden sich je nach Angriff. Eine gefälschte Anmeldeseite kann die Zugangsdaten eines Benutzers offenlegen, während ein Phishing-Versuch mit Gerätecode über ein Authentifizierungstoken unbefugten Zugriff ermöglichen kann.
Untersuchungen zum ARToken-Phishing-Kit zeigen, wie Angreifer Microsoft-Authentifizierungsabläufe nutzen können, um den Kontozugriff aufrechtzuerhalten. Diese Forschung betrifft eine separate Bedrohungsoperation und ist kein bestätigter Bestandteil der Kalenderkampagne von Check Point.
So können Sicherheitsteams Phishing über Kalendereinladungen stoppen
Verteidiger benötigen Kontrollen, die sowohl eingehende Einladungen als auch die anschließenden Aktionen der Benutzer untersuchen.
Das KnowBe4 Threat Lab meldete während des von seiner Untersuchung abgedeckten Zeitraums von sechs Monaten einen Anstieg des Phishings über Kalendereinladungen um 49 %. Seine Untersuchung empfiehlt, ICS-Inhalte zu prüfen, verdächtige Links zu bewerten und die automatische Verarbeitung von Einladungen zu überprüfen.
Für Microsoft-365-Administratoren gehören zu den praktischen Maßnahmen:
- ICS-Anhänge prüfen: Kalenderdateien auf verdächtige URLs, ungewöhnliche Termindetails und externe Ziele prüfen.
- Kalendereinstellungen überprüfen: Ermitteln, ob externe Einladungen automatisch zu den Kalendern der Mitarbeiter hinzugefügt werden, und dieses Verhalten gegebenenfalls einschränken.
- Link-Schutz verstärken: Verdächtige Ziele bewerten, wenn Benutzer darauf klicken, und nicht nur beim Eingang der Nachrichten.
- Authentifizierungsaktivitäten überwachen: Unerwartete Anmeldungen, verdächtige Gerätecode-Anfragen und nicht autorisierte Anwendungsberechtigungen untersuchen.
- Incident Response ausweiten: Bösartige Kalendereinträge ebenso wie Phishing-E-Mails entfernen und anschließend prüfen, ob auf betroffene Konten zugegriffen wurde.
- Mitarbeiter schulen: Benutzer dazu anhalten, unerwartete Meeting-Anfragen über einen etablierten Kommunikationskanal zu verifizieren, bevor sie deren Links folgen.
Wenn Zugangsdaten auf einer Phishing-Seite eingegeben wurden, sollten die für die Reaktion zuständigen Mitarbeiter die Kontoaktivitäten bewerten, kompromittierte Zugangsdaten zurücksetzen, verdächtige Sitzungen widerrufen und nicht autorisierte Änderungen untersuchen. Hat ein Angreifer eine Anwendungsautorisierung erhalten, müssen Administratoren möglicherweise auch die betroffenen Berechtigungen widerrufen.
Microsoft-365-Kalender-Phishing ist nicht auf einen einzelnen Angreifer oder eine bestimmte Zustellmethode beschränkt. Die aktuellen Ergebnisse von Check Point belegen umfangreiche Angriffe auf Unternehmen, nicht jedoch, dass 40.000 Unternehmen kompromittiert wurden.
Bei betroffenen Unternehmen sollte die unmittelbare Reaktion beide Orte abdecken, über die der Angriff Mitarbeiter erreichen kann: die ursprüngliche Nachricht und jeden von ihr erstellten Kalendereintrag.
Außerdem lesenswert: Microsoft hat kürzlich ein separates Phishing-Netzwerkzerschlagen, das mit mehr als 1 Milliarde bösartigen Nachrichten in Verbindung stand und das Ausmaß der Infrastruktur veranschaulicht, die für den Diebstahl von Zugangsdaten zur Verfügung steht.