Eine vertraute Google-Adresse in einer verdächtigen E-Mail könnte genau das sein, worauf Angreifer hoffen, dass Sie ihr vertrauen.
Das KnowBe4 Threat Lab hat eine aktive, groß angelegte Phishing-Kampagne aufgedeckt, die Unternehmensziele über legitime Google-Dienste schleust, bevor sie auf bösartige Seiten umgeleitet werden. Die Forscher stellten fest, dass diese Vorgehensweise dazu beitragen kann, dass Links frühe Sicherheitsprüfungen überstehen.
Der Angriff wird im Verlauf der Weiterleitungskette zunehmend personalisiert: Einige Opfer erhalten Phishing-Seiten, die auf ihren Arbeitgeber und ihre E-Mail-Adresse zugeschnitten sind.
Weiterleitungstricks halten die Phishing-Seite verborgen
Varianten der Kampagne liefen in unterschiedlichen Kombinationen über Dienste wie Google Meet, die Google-Suche und DoubleClick, was Versuche erschwerte, einen einzigen festen Pfad zu blockieren.
Einige Links enthielten außerdem Zielinformationen in einem Teil der URL, den frühere Dienste nicht erhielten, sodass nützliche Informationen vor einigen automatisierten Prüfungen verborgen blieben.
Bevor die Phishing-Seite angezeigt wird, prüft die von den Angreifern kontrollierte Website, ob der Besucher offenbar ein echtes Unternehmensziel ist. Gefälschte Eingabeaufforderungen zur menschlichen Verifizierung und Prüfungen der Unternehmensdomain können die Wahrscheinlichkeit verringern, dass Forscher oder automatisierte Scanner die bösartige Seite sehen.
Opfer landen auf Seiten, die um ihren eigenen Arbeitsplatz herum aufgebaut sind
Besucher, die diese Prüfungen bestehen, können auf einer Seite landen, die um ihren Arbeitgeber herum aufgebaut ist. Das Kit kann Berichten zufolge das echte Logo des Unternehmens abrufen und die Anmeldeaufforderung über ein Bild seiner öffentlich zugänglichen Website legen. Auch die E-Mail-Adressen der Opfer können bereits vorausgefüllt sein.
Die Unterstützung für 16 Sprachen deutet auf eine globale Zielgruppe hin. KnowBe4 beobachtete Unternehmensziele aus den Bereichen Fertigung und Behörden sowie aus Finanz- und Non-Profit-Organisationen. Zu den Ködern gehörten unter anderem Aufforderungen zur Dokumentenprüfung und Warnungen vor dem Ablauf von Postfächern sowie andere geschäftliche Nachrichten.
Einige Sitzungen führen zu gefälschten Microsoft-Anmeldeseiten, die darauf ausgelegt sind, Zugangsdaten oder Geräteautorisierungscodes abzugreifen. Andere verwenden eine gefälschte Aufforderung zur Identitätsüberprüfung, um ScreenConnect zu installieren – ein legitimes Tool zur Fernverwaltung, das Angreifer bei anderen Angriffen missbraucht haben.
ScreenConnect erhöht den potenziellen Schaden, da es einem Angreifer interaktiven Zugriff auf den Endpunkt ermöglicht, anstatt den Angriff auf den Diebstahl von Kontodaten zu beschränken.
Der ScreenConnect-Pfad verschärft die Situation, weil er einem Angreifer interaktiven Zugriff auf den Endpunkt ermöglichen kann, anstatt den Angriff auf gestohlene Kontozugangsdaten zu beschränken.
Vertrauenswürdige Links erfordern andere Prüfungen durch Mitarbeiter und Verteidiger
Mitarbeiter sollten Vertrautheit als Anlass zur Überprüfung verstehen, nicht als Beweis dafür, dass eine Anfrage sicher ist. Ein legitimer Dienst am Anfang eines Links oder eine professionell gestaltete Anmeldeseite am Ende kann trotzdem Teil eines Phishing-Angriffs sein.
| Wer handeln sollte | Worauf Sie achten sollten | Was zu tun ist |
|---|---|---|
| Mitarbeiter, die eine verdächtige Nachricht erhalten | Unerwartete Hinweise zu Dokumenten, Sprachnachrichten oder Konten, die Sie über mehrere Seiten führen, bevor Sie zur Anmeldung aufgefordert werden | Öffnen Sie den Dienst direkt in seiner App oder auf seiner Website, statt der Nachricht weiter zu folgen. Melden Sie verdächtige Anfragen an die IT-Abteilung oder das Sicherheitsteam. |
| Jeder, der Zugangsdaten eingegeben hat | Unerwartete Anmeldeaufforderungen oder Kontoaktivitäten nach dem Anklicken eines Links | Ändern Sie das Passwort von einem als sicher bekannten Gerät aus und informieren Sie das Sicherheitsteam, damit kürzlich erfolgte Anmeldungen und aktive Sitzungen überprüft werden können. |
| Jeder, der ScreenConnect installiert hat | Eine Aufforderung zur Identitätsüberprüfung, durch die Software installiert oder Fernzugriff geöffnet wurde | Wenden Sie sich sofort an die IT-Abteilung oder das Sicherheitsteam und lassen Sie den Endpunkt auf unbefugten Zugriff prüfen. |
| Sicherheits- und IT-Teams | Vertrauenswürdige Weiterleitungen, die auf unbekannten Domains enden, verdächtige Authentifizierungsaktivitäten oder nicht genehmigte Tools für den Fernzugriff | Überprüfen Sie betroffene Konten und Sitzungen, untersuchen Sie Endpunkte, suchen Sie nach nicht genehmigten ScreenConnect-Installationen und führen Sie anhand der veröffentlichten Kampagnenindikatoren eine Suche durch. |
Sicherheitsteams sollten sich nicht mit einer Passwortzurücksetzung begnügen, wenn möglicherweise Fernzugriffssoftware installiert wurde. MFA und das Zurücksetzen von Zugangsdaten können zum Schutz des Kontos beitragen, entfernen jedoch keinen Angreifer, der über eine aktive Fernzugriffssitzung bereits die Kontrolle über den Endpunkt hat.
In solchen Fällen sollte das Gerät selbst als potenziell kompromittiert betrachtet und entsprechend untersucht werden.
Weitere Nachrichten zur Cybersicherheit: Gefälschte Minecraft-Websites hielten WeedHack im Umlauf , nachdem Verteidiger das ursprüngliche Backend des Malware-Betriebs gestört hatten.