Ein neu entdecktes Phishing-Kit namens Spiderman ermöglicht Cyberkriminellen, mit wenigen Klicks Dutzende großer europäischer Banken zu imitieren, wodurch die erforderlichen Kenntnisse für groß angelegte Kampagnen zum Finanzbetrug deutlich sinken.
Der Entwickler bewirbt das Kit als schlüsselfertige Lösung zum Stehlen von Zugangsdaten, Einmalpasswörtern (OTPs) und sogar Krypto-Seed-Phrasen in Echtzeit.
Das Phishing-Kit liefert Angreifern „… mehr als genug Informationen für Kontoübernahmen, SIM-Swapping-Angriffe, Kreditkartenbetrug und Identitätsdiebstahl“, sagten die Forscher von Varonis.
Das Spiderman-Phishing-Kit zielt auf Banken in ganz Europa
Spiderman zielt auf Kunden in Deutschland, Spanien, Belgien, Österreich und der Schweiz ab und betrifft Institute von Deutsche Bank und CaixaBank bis hin zu ING und Commerzbank.
Seine zunehmende Verbreitung – belegt durch eine Signal-Gruppe mit rund 750 Nutzern – deutet auf eine breite Verfügbarkeit unter weniger erfahrenen Angreifern hin und erhöht sowohl die Häufigkeit als auch die geografische Reichweite von Finanz-Phishing-Kampagnen.
Der Full-Stack-Phishing-Workflow von Spiderman
Im Kern ist Spiderman ein markenübergreifendes Phishing-Framework, das jede Phase des Diebstahls von Zugangsdaten automatisiert.
Sobald ein Betreiber die Bank auswählt, die er imitieren möchte, erzeugt das Kit sofort einen pixelgenauen Klon der Anmeldeseite des Instituts – einschließlich Feldern für Benutzernamen, Passwörter, Kreditkartendaten und PhotoTAN-/OTP-Abfragen.
Das Betreiber-Dashboard zeigt jede Opfersitzung in Echtzeit an und verfolgt Benutzereingaben, IP-Metadaten und Gerätedetails.
Nachdem ein Opfer die ersten Zugangsdaten eingegeben hat, können Angreifer zusätzliche Abfragen auslösen, um weitere vertrauliche Informationen wie Kreditkartennummern, Telefondaten und zur Autorisierung von Transaktionen erforderliche OTPs abzugreifen.
Diese Echtzeit-Workflows erhöhen die Erfolgsquote von Kontoübernahmen erheblich, insbesondere in europäischen Bankensystemen, in denen eine mehrstufige Authentifizierung Standard ist.
Spiderman umfasst außerdem fortschrittliche Funktionen zur Umgehung von Analysen, die Sicherheitswerkzeuge umgehen und die Aufdeckung begrenzen sollen.
Das Kit verwendet eine Länder-Allowlist, sodass nur die anvisierten Regionen auf die Phishing-Seite zugreifen können, und setzt Filter für Internetdienstanbieter und ASNs ein, um Besuche von VPNs, Rechenzentren und bekannten Netzwerken der Sicherheitsforschung zu blockieren.
Darüber hinaus wird der Zugriff nach Gerätetyp eingeschränkt, sodass nur Mobil- oder Desktop-Nutzer die schädlichen Inhalte erhalten.
Wenn ein Besucher verdächtig erscheint oder die zulässigen Kriterien nicht erfüllt, leitet Spiderman ihn automatisch auf eine harmlose Website um, wodurch die Wahrscheinlichkeit einer Entdeckung sinkt.
Diese Kontrollen helfen dem Kit, automatisierten Scannern und Threat-Intelligence-Crawlern zu entgehen, und erschweren die Erkennung erheblich.
Welche Daten Spiderman-Phishing-Kits von Opfern abgreifen
Im Gegensatz zu einfachen Phishing-Vorlagen fungiert Spiderman als Full-Stack-System zum Echtzeit-Hijacking von Zugangsdaten und ermöglicht es Angreifern, weit mehr als nur Login-Datenpaare abzugreifen.
Zu den erfassten Daten gehören häufig:
- Vollständige Namen, Telefonnummern und Geburtsdaten
- Kreditkarten- und Bankdaten
- PhotoTAN-Codes zur Transaktionsfreigabe
- User-Agent- und Geräte-Fingerprints
Die Einbindung von Kryptowährungsmodulen – für Metamask, Ledger und Exodus – verdeutlicht die zunehmende Verschmelzung von Bankbetrug und Kryptodiebstahl. Diese Module erfassen Seed-Phrasen, die einen unwiderruflichen Zugriff auf die Wallets der Opfer ermöglichen.
Der mehrstufige Ansatz von Spiderman ermöglicht es Angreifern außerdem, eine kontinuierliche Sitzung mit jedem Opfer aufrechtzuerhalten, die durch eine eindeutige Kennung gekennzeichnet ist. Dies hilft dabei, gestohlene Daten für eine spätere Nutzung oder einen Weiterverkauf zu organisieren, und steigert die operative Effizienz von Cybercrime-Gruppen.
Wichtige Maßnahmen gegen die sich wandelnden Phishing-Bedrohungen
Um die Auswirkungen von Kits wie Spiderman zu reduzieren, sind eine Kombination aus stärkerer Authentifizierung, intelligenterer Erkennung und koordinierter Reaktion erforderlich.
Die folgenden Schritte können Organisationen und Finanzinstituten helfen, widerstandsfähigere Abwehrmaßnahmen gegen sich wandelnde Phishing-Workflows aufzubauen.
- Phishing-resistente MFA einsetzen und eine verstärkte Verifizierung nutzen, um die Wirksamkeit von Kits zum OTP-Diebstahl zu reduzieren.
- E-Mail- und Domain-Schutz stärken mit fortschrittlichen Phishing-Filtern, Sandboxing, DMARC-Durchsetzung und Maßnahmen gegen Spoofing.
- Auf Marken-Imitationen achten und schnelle Abläufe zur Abschaltung schädlicher Domains und geklonter Banking-Seiten einrichten.
- Nutzen Verhaltensanalysen und die Erkennung von Transaktionsanomalien , um ungewöhnliche Geräte, Standorte oder Authentifizierungsmuster zu erkennen.
- Nutzer über regionsspezifische Phishing-Köder aufklären und klare Sicherheitsindikatoren bereitstellen, die sich von Kits nur schwer nachahmen lassen.
- Nutzen Threat-Intelligence-Feeds , um neu entstehende Phishing-Infrastrukturen zu identifizieren, neue Kit-Varianten zu verfolgen und Indikatoren für die interne Abwehr schnell sichtbar zu machen.
Diese Schritte helfen Organisationen, ihre Widerstandsfähigkeit gegen Phishing-Angriffe zu stärken.
Spiderman ist Teil eines umfassenderen Trends: schlüsselfertige Cybercrime-Kits schließen die Lücke zwischen hochentwickelten Bedrohungsakteuren und weniger erfahrenen kriminellen Betreibern.
Mit hochgradig automatisierten Oberflächen, Echtzeit-Kontrolle über Sitzungen und Filtern zur Umgehung von Analysen beschleunigen Kits wie dieses das Volumen und die Komplexität von Finanz-Phishing-Kampagnen in ganz Europa.
wie Zero Trust – besser eindämmen können.