Phishing-Angriffe mit Kalendereinladungen nehmen zu – Barracuda warnt vor versteckten .ics-Angriffen

Die Sicherheitsforscher von Barracuda warnen vor einer zunehmenden Phishing-Variante, bei der schädliche Links, QR-Codes und gefälschte Anmeldeseiten in Kalendereinladungen versteckt sind. Die Angriffe können im Kalender des Nutzers verbleiben, selbst nachdem die ursprüngliche E-Mail gelöscht oder in Quarantäne verschoben wurde.

Der Kalender hat sich zu einem zentralen Arbeitsinstrument für Besprechungen, Schulungen, Personalangelegenheiten, Gehaltsabrechnungen und administrative Erinnerungen entwickelt. Dadurch können selbst unerwartete Kalendereinträge als legitim wahrgenommen werden. Gleichzeitig konzentrierten sich viele Sicherheitslösungen in der Vergangenheit eher auf E-Mails, Links und Anhänge als auf die Kalenderinhalte selbst. Laut Barracuda nutzen Angreifer diese Lücke nun aus, um glaubwürdige und schwerer erkennbare Angriffe zu erstellen.

Der Kalender wird zu einem neuen Ziel für Phishing-Angriffe

Der Angriff beginnt häufig mit einer E-Mail, die eine Kalenderdatei im .ics-Format enthält. Die Einladung kann den Anschein erwecken, von der Personalabteilung, der IT-Abteilung oder einer anderen internen Funktion zu stammen und sich beispielsweise auf eine neue Richtlinie, eine obligatorische Schulung, geänderte Sozialleistungen oder ein dringendes Problem mit der Gehaltsabrechnung beziehen.

Sobald der Kalendereintrag hinzugefügt wurde, erhält er eine besondere Eigenschaft: Er kann weiterhin als Erinnerung angezeigt werden, selbst wenn das Sicherheitssystem die ursprüngliche E-Mail später löscht oder unter Quarantäne stellt. Dadurch kann der Empfänger dem schädlichen Inhalt mehrfach ausgesetzt sein, lange nach der ersten Zustellung.

Wie der Angriff über .ics-Dateien funktioniert

Eine .ics-Datei kann weit mehr als nur Zeit und Ort enthalten. Angreifer können Logos, formatierte Anweisungen, Bilder, Links, Dokumente und QR-Codes direkt in den Kalendereintrag einfügen. Das Design wird häufig so angepasst, dass es der üblichen Unternehmenskommunikation ähnelt und Zeitdruck erzeugt.

Der Link oder QR-Code führt dann zu einer gefälschten Anmeldeseite. Barracuda beschreibt, wie die Angriffe sogenanntes Adversary-in-the-Middle-Phishing (AiTM) nutzen. Bei dieser Technik schaltet sich der Angreifer zwischen Benutzer und legitimen Dienst. Gibt das Opfer seine Daten ein und führt die Multi-Faktor-Authentifizierung durch, kann der Angreifer sowohl Benutzernamen und Passwort als auch die bereits authentifizierte Sitzung abfangen.

Das bedeutet, dass die herkömmliche Multi-Faktor-Authentifizierung (MFA) nicht immer ausreicht. Ein gestohlener Session-Cookie oder ein Sicherheitstoken kann in manchen Fällen Zugriff gewähren, ohne dass sich der Angreifer erneut anmelden muss. Die Folgen können gehackte Konten, unberechtigter Zugriff auf Cloud-Dienste und die weitere Verbreitung innerhalb der Organisation sein.

QR-Codes verlagern den Angriff außerhalb der Unternehmenskontrollen.

QR-Codes stellen ein zusätzliches Problem dar, da das eigentliche Ziel nicht sofort ersichtlich ist. Der Nutzer scannt den Code häufig mit einem privaten oder geschäftlichen Mobiltelefon, wodurch die Aktivität die üblichen Sicherheitsvorkehrungen des Unternehmens hinsichtlich Browser, Netzwerk und Clients verlassen kann.

Auf kleineren Mobilbildschirmen ist es zudem schwieriger, die gesamte URL zu überprüfen und kleine Abweichungen im Domainnamen zu erkennen. Die Kombination aus einem glaubwürdigen Kalendereintrag, einer dringenden Nachricht und einem QR-Code kann daher die Hemmschwelle senken, den Anweisungen des Angreifers zu folgen.

Barracuda empfiehlt, den gesamten Kalendereintrag zu überprüfen.

Barracuda empfiehlt, Kalendereinladungen als aktiven Inhalt und nicht als harmlose Metadaten zu behandeln. Sicherheitsprüfungen sollten die Metadaten der .ics-Datei, den Absender, eingebettete Links und Anhänge, den HTML-Inhalt sowie die Ziele hinter QR-Codes analysieren.

• Unerwartete .ics-Dateien von externen Absendern identifizieren.
• Besonderes Augenmerk sollte auf dringende Mitteilungen aus den Bereichen Personalwesen, Gehaltsabrechnung und IT gelegt werden.
• Prüfen Sie die Links, angehängten Dokumente und QR-Codes in den Kalendereinträgen.
• Verknüpfen Sie die Zustellung mit anomalen Anmeldevorgängen und unerwarteten MFA-Anfragen.
• Wenn eine schädliche .ics-Datei entdeckt wird, löschen Sie sowohl die ursprüngliche E-Mail als auch den Kalendereintrag.

Es reicht also nicht aus, nur die erste E-Mail abzufangen. Die Organisation muss die gesamte Angriffskette nachverfolgen können – von der zugestellten Kalenderdatei über Klicks, Anmeldeversuche und MFA-Ereignisse bis hin zur Token-Nutzung. Dies ist ein wichtiger Bestandteil moderner Arbeitsweisen. Cybersicherheit.

Phishing-resistente MFA stärkt den Identitätsschutz

Um das Risiko von AiTM-Angriffen zu minimieren, hebt Barracuda phishingresistente Authentifizierungsmethoden wie FIDO2 und WebAuthn hervor. Diese verknüpfen die Authentifizierung mit der korrekten Website und erschweren es erheblich, den Benutzer zur Bestätigung eines gefälschten Logins zu verleiten.

Der Schutz sollte mit bedingtem Zugriff, aktiver Sitzungsüberwachung, dem schnellen Abruf verdächtiger Sitzungen und der Fähigkeit zur Erkennung anomaler Anmeldungen oder des Missbrauchs von Sicherheitstoken kombiniert werden. Der Identitätsschutz muss auch das Verhalten nach einer genehmigten MFA-Anfrage umfassen.

Die Schulung muss Kalendereinladungen beinhalten.

Mitarbeiter sind seit Langem darin geschult, unerwartete E-Mails und Anhänge kritisch zu prüfen. Dieselbe Vorsicht ist nun auch für den Kalender geboten. Unerwartete Einladungen zu Gehaltsfragen, Sozialleistungen, Richtlinienänderungen oder verpflichtenden Schulungen sollten über einen separaten und bekannten Kommunikationskanal verifiziert werden.

Eine Kalendereinladung sollte nicht automatisch als sicher eingestuft werden, nur weil sie automatisch zum Kalender hinzugefügt wurde oder ein bekanntes Logo verwendet. QR-Codes und Dokumente in einer .ics-Datei sollten mit dem gleichen Misstrauen behandelt werden wie der entsprechende Inhalt in einer typischen Phishing-E-Mail.

Über Barracuda Networks

Barracuda Networks Das Unternehmen entwickelt Lösungen für Cyberresilienz und den Schutz von E-Mails, Daten, Anwendungen und Netzwerken. Die BarracudaONE-Plattform kombiniert Sicherheitsfunktionen und Managed Services, einschließlich XDR, um Organisationen bei der Prävention, Erkennung und Bewältigung von Cyberbedrohungen zu unterstützen.

Die Analyse von kalenderbasiertem Phishing wird erstellt von Soundharya Bharani Poomalai, Associate Threat Analyst bei Barracuda. Lesen Sie mehr Technische Analyse der Barracuda und die Schwedische Quelleninformationen auf Mynewsdesk.