- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Phishing-E-Mails im Visier


Anmeldedaten-Phishing-Kampagne über Google Apps entdeckt
Seite ist die perfekte Nachbildung einer echten Google-Seite – mit dem einzigen Unterschied, dass sie über HTTP statt HTTPS vorgehalten wird

Von Monika Schaufler, Regional Sales Director CEMEA, bei Proofpoint

(01.04.15) - Anmeldedaten-Phishing ist nach wie vor eine beliebte Technik bei Malware-Kampagnen, wobei ein häufiges Ziel Outlook-Webanmeldedaten sind, über die andere Webmail-Konten geöffnet werden. Im Zuge der wachsenden Verbreitung Cloud-basierter Dokumente wurde dieses Verhalten auch als Lockmittel in Nachrichten von Phishing-Kampagnen eingesetzt – was deren Glaubwürdigkeit und Effektivität steigerte.

In einer kürzlich durchgeführten Studie haben Forscher von Proofpoint auf die Hauptbestandteile von Attacken dieser Art hingewiesen – sowie auf eine clevere Innovation, die in letzter Zeit von Hackern eingeführt wurde. Anmeldedaten-Phishing über Google-Apps gehört zu den gängigsten E-Mail-gebundenen Bedrohungen, die Proofpoint derzeitig beobachtet. Besonders diejenigen Organisationen, die Google-Apps regulär intern nutzen, sind hier besonders Klick-anfällig.

Im untenstehenden Beispiel wird durch das Klicken auf den Link eine sehr realistisch anmutende Google-Landingpage für gemeinsam verwendete Dokumente aufgerufen, statt das potenzielle Opfer direkt auf eine (gefälschte) Login-Seite zu leiten.

Die Seite ist die perfekte Nachbildung einer echten Google-Seite – mit dem einzigen Unterschied, dass sie über HTTP statt HTTPS vorgehalten wird. Wird dieses Warnsignal missachtet, klickt der Empfänger auf die Download-Schaltfläche und sieht dann die Google-Anmeldeseite, die ebenfalls ihrem Original zum Verwechseln ähnelt.

Zur Steigerung der Flexibilität unterstützt das bösartige Dokument auch Logins anderer Webmail-Dienste wie Yahoo, Hotmail, AOL und sogar eine "weitere" Option, bei der das Opfer beliebige Anmeldedaten eines Unternehmens eingeben kann. Dadurch können die Hacker ihren Einflussbereich erweitern, da sie ein breiteres Spektrum von Anmeldedaten einziehen und anwenden können.

Normalerweise fliegt das Anmeldedaten-Phishing auf, sobald das Opfer seine Anmeldedaten eingegeben hat. In diesem Fall jedoch wird der Login-Prozess weiter durchgezogen, indem tatsächlich ein Dokument vorgehalten wird.

Diese Technik mindert das Risiko, dass der Benutzer sofort erkennt, dass etwas nicht stimmt, und gibt dem Hacker mehr Zeit, von den gestohlenen Anmeldedaten Gebrauch zu machen. Schon einige Stunden reichen aus, damit der Hacker mithilfe der gestohlenen Anmeldedaten die nächste Runde Nachrichten senden kann.

Ein weiterer Vorteil des Aufrufs von Phishing-Kampagnen über manipulierte Google-Konten liegt darin, dass mit einem relativ geringen Aufwand eine sehr glaubwürdige, gezielte Phishing-Attacke möglich ist: Die Kontaktliste des Opfers wird abgegrast und dazu verwendet, die Empfängerliste für den nächsten Schritt der Kampagne aufzufüllen.

Bei einer ähnlichen Angriffstechnik wird ein gefälschtes Dropbox-Dokument verwendet, um Anmeldedaten zum Cloud-basierten Dokumenten-Austauschdienst zu erfassen. Wie beim Anmeldedaten-Phishing über Google-Apps, so ist auch hier die Login-Seite, die dem Empfänger vorgehalten wird, täuschend echt:

Dieses Beispiel stammt aus der Cloud-Dokument-Phishing-Kampagne eines Akteurs, der tendenziell Kampagnen mit begrenzterem Umfang vorzieht und dabei oft weniger als drei URLs auf 30 bis 50 Nachrichten pro Woche verteilt. Häufig hat er es auf zehn Organisationen abgesehen, manchmal waren es jedoch bis zu dreißig. Anfangs zielte er auf Organisationen im Reklame- und Gastgewerbe; dann, darauf aufbauend, auf Unternehmen des Finanzsektors. Der Hacker hat anscheinend seine Strategie geändert und geht nun weniger gezielt, dafür viel opportunistischer vor. Der relative Wert dieser Technik wird in gewisser Weise dadurch hervorgehoben, dass das Abschürfen von E-Mail-Adressen von Führungskräften aus dem Reklame- und Gastgewerbe – bewusst oder unbewusst – dazu geführt hat, dass leitende Angestellte des Finanzsektors in den nachfolgenden Runden von Phishing-E-Mails im Visier standen.

Attacken über Cloud-basierte Dokumentendienste und -anwendungen verleihen dem Wert eines gehackten E-Mail-Kontos noch zusätzliche Möglichkeiten, indem sie weitere Gelegenheiten zur Einleitung von Kampagnen erschaffen, die gezielter und zugleich effektiver sind. Das Anmeldedaten-Phishing über Cloud-basierte Dokumente wird zunehmend beliebter, da die Hacker sich seine Vorteile zunutze machen, um ihren Vorsprung vor den Abwehrmechanismen zu wahren, die häufig noch auf allseits bekannten, leicht zu überwindenden Techniken beruhen. (Proofpoint ra)

Proofpoint: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Hybride aus Daten-Diebstahl und Ransomware

    SophosLabs und Sophos Managed Threat Response haben einen Bericht über eine neue Ransomware veröffentlicht, die eine bisher noch nicht bekannte Angriffsmethode verwendet: Die sogenannte Snatch-Ransomware geht mit variierenden Techniken vor und veranlasst unter anderem einen Neustart übernommener Computer im abgesicherten Modus, um verhaltensorientierte Schutzmaßnahmen, die speziell nach Ransomware-Aktivitäten wie das Verschlüsseln von Dateien Ausschau halten, zu umgehen. Sophos geht davon aus, dass Cyberkriminelle damit eine neue Angriffstechnik etabliert haben, um fortschrittliche Schutzmechanismen auszuhebeln. Neben der neuen Angriffstaktik belegt ein weiterer interessanter Fund, dass sich ein anderer Trend fortzusetzen scheint: Kriminelle filtern immer häufiger Daten heraus, bevor die eigentliche Ransomware-Attacke startet. Die entwendeten Daten könnten zu einem späteren Zeitpunkt für Erpressungen, auch in Zusammenhang mit der DSGVO, verwendet werden. Ähnliches Verhalten konnten die SophosLabs zum Beispiel bei Ransomware-Gruppen wie Bitpaymer feststellen.

  • Windows-Zero-Day-Exploit zur Rechteausweitung

    Kaspersky-Technologien haben eine Zero-Day-Schwachstelle im Windows-Betriebssystem gefunden. Der darauf basierende Exploit ermöglichte es Angreifern, höhere Privilegien auf dem attackierten Gerät zu erlangen und Schutzmechanismen im Google Chrome Browser zu umgehen - wie es in der WizardOpium-Kampagne geschah. Ein Patch wurde bereits veröffentlicht. Die neue Windows-Schwachstelle wurde von Kaspersky-Forschern aufgrund eines anderen Zero-Day-Exploits gefunden. Bereits im vergangenen November hatten die Exploit-Prevention-Technologien, die in den meisten Produkten des Unternehmens integriert sind, einen Zero-Day-Exploit in Google Chrome gefunden. Dieser Exploit ermöglichte es den Angreifern, beliebigen Code auf dem Computer des Opfers ausführen. Im Rahmen weiterer Untersuchungen dieser Kampagne, die die Experten WizardOpium tauften, wurde nun der Exploit im Windows-Betriebssystem gefunden.

  • Phishing ist ein langfristiges Problem

    Akamai Technologies hat den "State of the Internet"-Sicherheitsbericht 2019 "Phishing - Baiting the hook" veröffentlicht. Die Forschungsergebnisse zeigen, dass Cyberkriminelle unternehmensbasierte Entwicklungs- und Bereitstellungsstrategien wie Phishing-as-a-Service nutzen, um die größten Technologiekonzerne der Welt anzugreifen. Knapp 43 Prozent der beobachteten Domains zielten auf Microsoft, PayPal, DHL und Dropbox ab. Der Bericht legt offen, dass Phishing nicht mehr nur eine E-Mail-basierte Bedrohung ist, sondern auch Social Media und mobile Geräte umfasst. Es handelt sich um ein weitreichendes Problem, das alle Branchen betrifft. Da sich die Angriffsmethoden weiterentwickeln, entstehen neue Techniken, etwa für Attacken auf geschäftliche E?Mails (Business E?Mail Compromise, BEC). Laut dem FBI führten BEC-Angriffe zwischen Oktober 2013 und Mai 2018 zu weltweiten Verlusten von mehr als 12 Milliarden US-Dollar.

  • Ziel des Angriffs kann sogar geblacklisted werden

    Im Laufe des Jahres 2019 haben das Threat Research Center (TRC) und das Emergency Response Team (ERT) von Radware eine zunehmende Anzahl von TCP-Reflection-Angriffen überwacht und verteidigt. Bei solchen Angriffen werden nicht nur die eigentlichen Ziele in Mitleidenschaft gezogen, sondern auch nichts ahnende Netzwerkbetreiber, deren Ressourcen benutzt werden, um die Attacke zu verstärken. Im Extremfall wird das Ziel des Angriffs als vermeintlicher Urheber der Attacke sogar von den einschlägigen Service-Anbietern auf deren Blacklists gesetzt. TCP-Reflection-Angriffe wie die SYN-ACK Reflection waren bis vor kurzem bei Angreifern weniger beliebt. Der Mangel an Popularität war hauptsächlich auf die falsche Annahme zurückzuführen, dass TCP-Reflection-Angriffe im Vergleich zu UDP-basierten Reflexionen nicht genügend Verstärkung erzeugen können. Im Allgemeinen haben TCP-Angriffe eine geringe Bandbreite und die Wahrscheinlichkeit ist geringer, dass eine Internetverbindung gesättigt wird. Stattdessen werden TCP-Angriffe genutzt, um durch hohe Paketraten (Packets Per Second - PPS) viele Ressourcen von Netzwerkgeräten zu binden und so Ausfälle zu provozieren.

  • Sicherheitsprognosen für 2020

    Die Sicherheitsforscher von Malwarebytes geben ihre Sicherheitsprognosen für das Jahr 2020 bekannt. Dabei prognostizieren die Experten zunehmende Gefahren für Unternehmen durch Ransomware-Angriffe, erwarten vermehrt Exploit-Kit-Aktivitäten und VPN-Skandale. Im Folgenden werden sechs Sicherheitsprognosen vorgestellt und in die Entwicklungen der jüngsten Zeit eingeordnet. Ransomware-Angriffe auf Unternehmen und Regierungen werden dank neu gefundener Schwachstellen zunehmen. Bereits in den vergangenen beiden Jahren konnte im Business-Umfeld ein Anstieg von Schwachstellen festgestellt werden und gerade in diesem Jahr wurde immer mehr Malware entwickelt, die sich auf Unternehmen konzentriert anstatt auf Verbraucher.

Botnet Rmnet immer noch aktiv Erhöhte Warnstufe bei Encodern