Eine raffiniert angelegte neue Phishing-Kampagne zur Erbeutung von Zugangsdaten gibt sich als routinemäßige Benachrichtigung über eine verpasste Voicemail aus, um arglose Mitarbeitende dazu zu bringen, ihre Passwörter für Google-Konten preiszugeben.
Der Sicherheitsforscher Anurag hat die Kampagne kürzlich aufgedeckt und die Details mit Cyber Security News geteilt. Dabei kommt ein Täuschungsmanöver zum Einsatz, das mit Dringlichkeit und gefälschten Audiohinweisen arbeitet, um Zielpersonen unbemerkt in eine mehrstufige Falle zum Abgreifen von Zugangsdaten zu locken.
Statt auf verdächtige E-Mail-Anhänge zu setzen, die häufig Sicherheitsfilter auslösen, kommt der Angriff als einfache Nachricht mit dem Hinweis „Neue Audio-Nachricht“. Wer auf die eingebettete Schaltfläche „Audio abspielen“ klickt, gelangt nicht zu einer Audiodatei. Stattdessen führt der Link über eine Reihe von Weiterleitungen, die das endgültige Ziel verschleiern sollen.
Der ursprüngliche Link führt über etablierte Cloud- und E-Mail-Infrastrukturen, darunter SendGrid (sendgrid[.]net) und das AWS-Klick-Tracking (rdnjfgli.r.ap-northeast-1.awstrack[.]me), um grundlegende Reputationsprüfungen zu umgehen. Dabei wird eine Base64-kodierte Version der E-Mail-Adresse des Ziels an das URL-Fragment angehängt und über die gesamte Weiterleitungskette hinweg beibehalten.
Das Opfer wird dann auf eine gefälschte Google-Workspace- oder Google-Voice-Landingpage weitergeleitet, die unter coderkubes[.]com/workspace/googlev.html gehostet wird. In der letzten Phase nutzt der Angriff eine lokale Blob-URL, um im Browser des Opfers eine überzeugende Anmeldemaske für Google-Konten zu erzeugen. Die zugrunde liegenden Phishing-Skripte werden dabei direkt von externen, von den Angreifern kontrollierten Servern (spy.mwork801[.]com) abgerufen.
Durch die Verwendung des kodierten E-Mail-Parameters trägt die bösartige Seite die Adresse des Opfers automatisch ein, wodurch die gefälschte Anmeldeseite besonders echt wirkt.
Die eigentliche Perimeter-Gefahr
Wenn ein Angreifer eine geschäftliche Google-Anmeldung abfängt, erhält er weit mehr als nur Zugriff auf einen Posteingang. Ein kompromittiertes Konto verschafft Eindringlingen die Schlüssel zu Google-Drive-Dokumenten, vertraulichen Kalendern, Kontaktlisten und Optionen zum Zurücksetzen des Single Sign-ons (SSO) für verbundene Unternehmensanwendungen.
Noch schlimmer: Gestohlene Zugangsdaten verwandeln vertrauenswürdige Unternehmenskonten in Ausgangspunkte für weitere Phishing-Kampagnen gegen Kollegen, Lieferanten und Kundennetzwerke. So wird der Ruf der eigenen Marke gezielt gegen die Partner des Unternehmens eingesetzt.
Die Taktik entschlüsselt: Warum Anti-Phishing-Tools ihr Ziel verfehlen
Bemerkenswert an dieser Kampagne ist nicht nur der Köder mit der gefälschten Voicemail, sondern auch ihre gezielt auf Umgehung ausgelegte Architektur. Indem der Datenverkehr über vertrauenswürdige Cloud-Dienste wie AWS und SendGrid geleitet wird, nutzt die Kampagne einen großen blinden Fleck herkömmlicher Sicherheitstools aus: fehlgeleitetes Vertrauen in Domains.
Herkömmliche E-Mail-Sicherheits-Gateways weisen Nachrichten mit Links zu, die auf renommierten Cloud-Plattformen gehostet werden, häufig einen hohen Vertrauenswert zu. Cyberkriminelle machen sich dies zunutze, indem sie diese Dienste als erste Stationen verwenden, bevor sie den Nutzer zu einer bösartigen Infrastruktur weiterleiten. Außerdem wird die endgültige Anmeldeseite dynamisch über eine Blob-URL des Browsers zusammengesetzt. Dadurch wird die Ausführung des Schadcodes lokal isoliert und verhindert, dass statische Webfilter die Nutzdaten der finalen Seite in Echtzeit untersuchen.
So schützen Sie sich vor dieser Phishing-Kampagne
Um das Risiko einer Kontoübernahme zu mindern, sollten Sicherheitsteams und Mitarbeitende wichtige Schutzmaßnahmen umsetzen:
- Realitätscheck durchführen: Voicemail-Benachrichtigungen sollten Audiodateien abspielen und nicht das Passwort eines Kontos verlangen. Jede Benachrichtigung, die vor der Wiedergabe eine erneute Anmeldung fordert, sollte als verdächtig eingestuft werden.
- Adressleiste prüfen: Prüfen Sie immer die Adressleiste des Browsers, bevor Sie Zugangsdaten eingeben. Eine Blob-URL oder ein nicht vertrauenswürdiger Domainname ist ein eindeutiges Warnsignal – ganz gleich, wie offiziell das Branding der Seite wirkt.
- Telemetrie abgleichen: Verteidigungsteams sollten die E-Mail-Telemetrie auf ungewöhnliche Weiterleitungsmuster überwachen, Klicks auf E-Mail-Links mit plötzlich auftretenden Anmeldeversuchen abgleichen und identifizierte bösartige Domains auf DNS- und Web-Proxy-Ebene blockieren.
- E-Mail-Links umgehen: Statt auf Links in unerwarteten Audiohinweisen zu klicken, sollten Sie den jeweiligen Dienst direkt in einem neuen Browser-Tab öffnen, um nach echten Nachrichten zu suchen.
Diese Kampagne zeigt, wie Angreifer vertraute Phishing-Köder schwerer auf den ersten Blick erkennbar machen, indem sie legitime Cloud-Dienste, mehrschichtige Weiterleitungen und überzeugende Anmeldeseiten kombinieren.
Für Mitarbeitende bleibt die sicherste Gewohnheit einfach: Behandeln Sie unerwartete Anmeldeaufforderungen mit Vorsicht und greifen Sie direkt auf Dienste zu, statt dafür E-Mail-Links zu verwenden. Für Sicherheitsteams besteht die größere Herausforderung darin, nicht nur auf die Domain-Reputation zu achten, sondern die gesamte Verhaltenskette zu beobachten, die aus einer scheinbar routinemäßigen Voicemail-Benachrichtigung eine Kontoübernahme machen kann.
Auch lesenswert: Erfahren Sie mehr darüber, wie OpenAI GPT-5.6 gegen reale Herausforderungen der Cybersicherheit testet