Laut dem neuesten Email Threat Radar-Bericht von Barracuda Networks, der mehrere aktuelle Angriffe auf Organisationen und deren Mitarbeiter detailliert beschreibt, verwenden Angreifer echte Microsoft-Logins, verstecken Phishing-Links in PDF-Anhängen und nutzen verschiedene Methoden, um Sicherheitskontrollen in E-Mail-Umgebungen zu umgehen.
Einer der beschriebenen Angriffe nutzt Tycoon 2FA, eine Phishing-Plattform als Dienst, und eine legitime Microsoft-Anmeldeseite anstelle einer gefälschten. Ziel ist es, den Benutzer zur Anmeldung zu verleiten und dadurch Sitzungstoken und Anmeldeinformationen zu erbeuten, die Zugriff auf E-Mails, Dateien und Microsoft 365-Dienste ermöglichen.
Der Angriff beginnt mit einer E-Mail-Warnung, dass der Posteingang bald voll sein wird. Die Nachricht enthält eine Kalendereinladung zu einem angeblichen Treffen mit dem Sicherheitsteam von Microsoft sowie eine Schaltfläche zum Freigeben zurückgehaltener E-Mails.
Der Button führt zu einem echten Microsoft-Login, der jedoch über die eigene, in der Tycoon-2FA-Plattform registrierte Anwendung der Angreifer aufgerufen wird. Beim Login wird die Sitzungs-ID erfasst. Anschließend wird der Benutzer aufgefordert, seine Anmeldedaten auf einer gefälschten Seite einzugeben, wodurch die Angreifer auch an das Passwort gelangen.
Links sind in PDF-Anhängen versteckt.
Der Bericht beschreibt auch Angriffe, bei denen verdächtige Links aus dem E-Mail-Text in einen PDF-Anhang verschoben wurden.
Die analysierte Kampagne fordert den Empfänger auf, einen Anhang zu öffnen, der beispielsweise regulatorische Bestimmungen oder Zahlungen betrifft. Der Link im Dokument führt zu einem Authentifizierungsprozess, der einem regulären Login ähnelt und Benutzerdaten sowie die E-Mail-Adresse erfasst.
In diesen Fällen werden Gerätecodes lokal im Browser generiert, anstatt echte Microsoft-APIs zu verwenden. Dies ahmt den Prozess nach, der zur Verknüpfung von Geräten mit Microsoft-Konten verwendet wird. Der Betrug nutzt außerdem CAPTCHAs und Phishing-Seiten, die nach einer bestimmten Zeit ablaufen.
Schaltfläche mit zwei unterschiedlichen Funktionen in derselben E-Mail
Ein weiterer Angriff nutzt die sogenannte ”Split-Click”-Technik, bei der dieselbe Schaltfläche je nach Klickposition des Benutzers unterschiedliche Funktionen hat.
Im vorliegenden Fall führt ein Klick auf den oberen Teil der Schaltfläche zu einer legitimen Microsoft-Seite, während der untere Teil über eine im Browser generierte sogenannte Blob-URL zu einer Phishing-Seite führt.
Phishing wird auch zur Verbreitung von Schadsoftware eingesetzt.
Dem Bericht zufolge wird Phishing in einigen Fällen nicht nur zum Sammeln von Anmeldedaten, sondern auch zur Verbreitung von Schadcode eingesetzt.
Zu den hervorgehobenen Beispielen gehören:
- Dateien, die harmlose PDF-Dokumente zu sein scheinen, aber tatsächlich JavaScript enthalten, wobei das Skript seinen Schadcode mithilfe von Steganografie und Codeverschleierungstechniken im gefälschten Dokument verbirgt.
- Kampagnen, bei denen Angreifer sich als Regierungsbehörde ausgeben und Skripte verteilen, die zusätzlichen Code herunterladen und diesen mithilfe von Windows-Komponenten im Speicher ausführen.
- Mehrstufige Angriffe, bei denen der Benutzer über mehrere Seiten geführt wird, beispielsweise von einer HTML-Datei zu einer gefälschten OneDrive-Seite und dann zu einer Anmeldeseite.
Empfehlungen von Barracuda
Der Bericht hebt hervor Barrakuda die folgenden Maßnahmen:
- Schützen Sie Identitäten und Sitzungs-IDs, nicht nur Passwörter.
- Erweiterung der Bedrohungserkennungsfunktionen um Kalendereinladungen, Anhänge und Anmeldevorgänge
- Verhaltensbasierte Erkennung verwenden
- Investieren Sie in den Schutz von Anlagen und Kunden.
- ermöglicht eine schnelle Reaktion auf Vorfälle
- Aktualisierung der Schulungskurse, um den aktuellen Phishing-Methoden Rechnung zu tragen
Der Bericht basiert auf Analysen von Barrakuda Forschung.
Swedish
Danish
Norwegian
Finnish
English
German
Dutch