Alles, was Sie über Phishing-as-a-Service wissen müssen

Was ist Phishing-as-a-Service?

Phishing-as-a-Service, oder PhaaS, ist ein Cyberkriminalitätsmodell, bei dem Bedrohungsakteure Phishing-Tools, -Kits und -Dienste anderen Angreifern anbieten, oft im Rahmen eines Abonnements oder gegen eine einmalige Zahlung. Es senkt die Einstiegsschwelle für Phishing-Angriffe, indem es vorgefertigte Vorlagen, Hosting, Automatisierung und sogar Kundensupport bereitstellt. PhaaS ermöglicht es nicht-technischen Nutzern, ausgeklügelte Phishing-Kampagnen zu starten, was zur Zunahme von Phishing-Vorfällen weltweit beiträgt

Wie funktioniert PhaaS?

1. Angreifer melden sich für diesen Dienst an – häufig über Darknet- oder Telegram-Kanäle – und erhalten Zugang zu ihrer PhaaS-Infrastruktur.
2. Der Dienst bietet vorgefertigte gefälschte E-Mails und Websites, die echten Unternehmen zum Verwechseln ähnlich sehen.
3. Der Betrüger kann die Nachrichten anpassen, um sie überzeugender zu gestalten.
4. Dann werden diese gefälschten E-Mails oder Websites an viele Personen gesendet.
5. Wenn jemand auf den Trick hereinfällt und seine privaten Daten eingibt, erfasst sie der Betrüger und kann Geld oder Identitäten stehlen.

Wer verwendet PhaaS?

• Angreifer, die Zugangsdaten stehlen wollen, aber nicht wissen, wie man Phishing-E-Mails erstellt, die Infrastruktur zum Hosten gefälschter Microsoft/Google-Anmeldeseiten aufbaut, Token für die Multifaktor-Authentifizierung (MFA) stiehlt und sie an einen Command-and-Control-Server sendet.
• Manchmal können sogar Leute, die technisch nicht sehr versiert sind, PhaaS nutzen, denn es macht es für jeden einfach, Betrügereien zu starten.

Warum verwenden sie PhaaS?

• Es spart Zeit und Mühe – sie brauchen keine komplizierten Betrugsszenarien von Grund auf neu zu erstellen.
• Es ist oft preisgünstig oder abonnementsbasiert, sodass es leicht zugänglich ist.

       Es ist jetzt viel einfacher, eine ausgeklügelte Phishing-Kampagne zu starten, die Tausende von Menschen mit nur wenigen Klicks oder minimalem Aufwand anvisiert, im Vergleich zu traditionellen Phishing-Angriffen. Diese modernen Angriffe sind hochentwickelt – sie verwenden raffinierte Methoden, um einer Entdeckung zu entgehen und stützen sich häufig auf legitime, aber kompromittierte Websites und Plattformen.

Wer sind die häufigsten Ziele?

• Normale Menschen, die E-Mails erhalten, die so aussehen, als kämen sie von ihren Banken, Plattformen, Lieblingsgeschäften oder genutzten Diensten.
• Mitarbeiter von Unternehmen – um sich heimlich in Unternehmenssysteme einzuschleichen.
• Selbst kleine Unternehmen oder Organisationen, die möglicherweise nicht über starke Sicherheitsvorkehrungen verfügen.

Warum breitet sich PhaaS aus?

• Der Zugang zu diesen Kits ist einfach zu erhalten, da sie zu erschwinglichen Preisen angeboten werden.
• Sie sind effektiver und haben höhere Erfolgsquoten als herkömmliche Angriffe, da die Kits fortschrittliche Tools enthalten, die den Quellcode verschleiern (verwirren) und verschlüsseln (sichern) und andere Techniken anwenden, um eine Entdeckung zu vermeiden.
• Der Service verbirgt die technische Komplexität, sodass jeder mitmachen kann.
• Es ist schwierig, PhaaS-Plattformen vollständig zu stoppen, da:
  • Sie wissen, wie man verborgen bleibt – diese Plattformen sind Experten im unbemerkten Agieren. Sie verwenden clevere Tricks, um nicht von Security-Systemen oder Strafverfolgungsbehörden entdeckt zu werden. Sie ändern ständig ihre Websites, E-Mails und Methoden, damit sie nicht leicht gefasst werden können.
    
    
  • Sie sind überall – PhaaS-Plattformen operieren weltweit. Sie verwenden Server und Websites in verschiedenen Ländern, was es schwierig macht, sie aufzuspüren oder schnell abzuschalten.

Neue und aufkommende PhaaS-Angriffe

PhaaS (Phishing-as-a-Service) entwickelt sich schnell weiter und produziert neuere, ausgefeiltere Kits, die Angriffe einfacher und effektiver machen – insbesondere für weniger technisch versierte Cyberkriminelle.

CoGUI ist zum Beispiel ein neues Phishing-Kit, das speziell auf japanische Unternehmen abzielt und zeigt, wie diese Tools auf bestimmte Regionen und Opfer zugeschnitten werden.

Andere neue und aufkommende Phishing-Kits umfassen:

• Sniper Dz – ein hochgradig anpassbares Kit, das verwendet wird, um Anmeldeseiten beliebter Dienste nachzuahmen, wodurch Phishing-Versuche sehr überzeugend wirken.
• Morphing Meerkat – bekannt für seine Fähigkeit, sein Aussehen schnell anzupassen und E-Mail-Filter zu umgehen.
• Darcula – ein unauffälliges Kit, das Phishing und Malware-Verbreitung kombiniert und häufig mobile Nutzer ins Visier nimmt.
• SessionShark – spezialisiert auf den Diebstahl aktiver Anmeldesitzungen, sodass Angreifer Konten kapern können, ohne Passwörter zu benötigen.

Was diese Kits besonders gefährlich macht, ist, dass sie sich ständig weiterentwickeln und ihre Methoden aktualisieren, um nicht von Security-Systemen entdeckt zu werden. Diese fortlaufende Weiterentwicklung hilft Betrügern, einen Schritt voraus zu bleiben und erschwert es, sie auszuschalten.

Innovative Techniken bei PhaaS-Angriffen

Phishing-Angriffe werden immer intelligenter und trickreicher, indem sie neue Methoden verwenden, um Menschen zu täuschen und einer Entdeckung zu entgehen. Hier sind einige der cleveren Tricks, die Betrüger bei PhaaS-Angriffen anwenden:

1. Verwendung echter, vertrauenswürdiger Websites
   Anstatt gefälschte Websites von Grund auf neu zu erstellen, nutzen Betrüger häufig beliebte, legitime Plattformen, um ihre schädlichen Links oder Dateien zu verbergen. Dies erschwert es Menschen und Security-Tools, zu erkennen, dass etwas nicht stimmt.
2. Verschlüsselung zur Tarnung
   Sie verschlüsseln ihren bösartigen Code, was bedeutet, dass sie ihn so durcheinanderbringen, dass er wie Kauderwelsch aussieht. Das macht es für Security Software schwierig, ihre Angriffe zu erkennen und abzuwehren.
3. Code unverständlich machen (Verschleierung)
   Betrüger verwenden auch Techniken, um ihren Code unverständlich und schwer nachvollziehbar zu machen, sodass es selbst Experten schwerfällt, herauszufinden, was der Code wirklich tut.
4. Ständig wechselnde Tricks
   Diese Phishing-Kits entwickeln sich im Laufe der Zeit weiter. Sie aktualisieren regelmäßig ihre Funktionsweise, um Sicherheitsmaßnahmen zu umgehen, die jeden Tag intelligenter werden.
5. Verwendung von echten, aber gehackten Websites
   Angreifer nutzen manchmal legitime Websites, die kompromittiert wurden, um ihren Betrug zu hosten. Da diese Websites echt und vertrauenswürdig sind, ist es einfacher, die Opfer zu täuschen.
6. Erkennung vermeiden durch intelligente Prüfungen
   Einige Phishing-Tools können erkennen, wenn sie von Security-Bots oder Sandbox-Umgebungen analysiert werden. Wenn dies geschieht oder der Angriff seinen Lauf genommen hat, leiten sie die Opfer auf echte Websites um, um keinen Verdacht zu erregen.

PhaaS-Kits konkurrieren unter den folgenden Bedingungen miteinander

1. Preis und Zugänglichkeit: Kits, die günstiger oder leichter erhältlich sind, ziehen tendenziell mehr Nutzer an. Einige bieten Abonnements an, während andere einmalige Lizenzen verkaufen. Der Preis und die Zahlungsmöglichkeiten sind von großer Bedeutung.
2. Updates: Einige PhaaS-Anbieter bieten Kundensupport an und aktualisieren ihre Kits regelmäßig, um neue Sicherheitsmaßnahmen zu umgehen. Kits, die stets auf dem neuesten Stand sind und Hilfe bieten, halten die Nutzer bei der Stange.
3. Erfolgsquoten: Wenn ein Kit dafür bekannt ist, Betrügern zu helfen, einer Entdeckung zu entgehen und erfolgreich Informationen zu stehlen, gewinnt es an Beliebtheit gegenüber anderen.

Volumen der PhaaS-Angriffe

Seit Anfang 2025 waren etwa 60% bis 70% der Phishing-Angriffe, die wir beobachtet haben, PhaaS-Angriffe. Unter diesen ist das am häufigsten verwendete Kit Tycoon 2FA, das 76 % der Angriffe ausmacht. EvilProxy macht etwa 8 % aus, während Mamba 2FA und Sneaky 2FA zusammen 6 % repräsentieren. Die restlichen 10 % stammen von verschiedenen anderen Phishing-Kits wie LogoKit, CoGUI, FlowerStorm, Gabagool und anderen.

Hinweis: Dieser Blogbeitrag wurde gemeinsam mit Deerendra Prasad verfasst.