Der Red Team Report: Sind Unternehmen auf KI-gestützte E-Mail-Angriffe vorbereitet?

Die Angriffssimulation des Red Teams umfasste KI-gestütztes Phishing, den ClickFix-Betrug und die Umgehung der MFA

Die wichtigsten Erkenntnisse

• Eine Angriffssimulation mit weit verbreiteten Tools zeigt, dass es nur fünf Minuten dauern kann, bis ein KI-gesteuerter Phishing-Angriff zu einer Kompromittierung von Endpunkten und zur Persistenz des Angreifers eskaliert und dabei herkömmliche Sicherheitskontrollen umgeht.
• Die Angriffssimulation kombinierte eine Phishing-E-Mail, einen ClickFix-Betrug und die Umgehung der Multifaktor-Authentifizierung (MFA).
• Die Ergebnisse unterstreichen den dringenden Bedarf an kontinuierlicher automatisierter Security in Echtzeit über den gesamten Angriffslebenszyklus hinweg.

Das Red Team von Barracuda Managed XDR führt interne Simulationen realer Bedrohungen durch und gibt Sicherheitsteams und Forschern Einblicke in die Entwicklung von Angriffen. Der Red Team Report ist Teil von Barracuda Research, der Bedrohungsintelligenz-Abteilung von Barracuda.

Die Komponenten der Angriffskette

Die Angriffssimulation des Red Teams konzentrierte sich auf die folgenden Bedrohungen:

KI-gestütztes Phishing: Angreifer erstellen mithilfe großer Sprachmodelle (LLMs) äußerst überzeugende, personalisierte Nachrichten in großem Maßstab, ohne die Rechtschreibfehler oder offensichtlichen Warnsignale, die Nutzer bisher erkannt haben. Was einst qualifizierte Bedrohungsakteure erforderte, kann jetzt von jedem in Minuten erledigt werden.

ClickFix: ClickFix-Betrugsmaschen sind Teil eines sich rasant weiterentwickelnden Angreifer-Werkzeugsets. Sie verleiten Nutzer zur Ausführung bösartiger Befehle, indem sie gefälschte Fehlermeldungen oder scheinbar legitime „Reparaturanweisungen“ präsentieren. Anstatt sich auf Downloads oder die traditionelle Verbreitung von Malware zu verlassen, manipulieren die Angreifer ihre Opfer.  

Das Werkzeugset der modernen Angreifer umfasst auch andere, ähnliche Taktiken, wie gefälschte Anmeldeportale, QR-Code-Phishing oder bösartige App-Berechtigungen, wobei KI eingesetzt wird, um Geschwindigkeit und Volumen zu steigern und die Wahrscheinlichkeit zu maximieren, dass die Nutzer kooperieren.

Umgehung der Multifaktor-Authentifizierung: Viele Angreifer – darunter die meisten Phishing-Kits – verwenden Adversary-in-the-Middle-Techniken (AitM), um Authentifizierungsmechanismen wie die Multifaktor-Authentifizierung (MFA) zu umgehen. Einfach ausgedrückt: Sie fügen sich zwischen das Opfer und die Softwareanwendung ein und fangen den Anmeldeprozess in Echtzeit ab, um Zugangsdaten und Sitzungstoken zu erfassen. 

Illustration der fünf Minuten, die vom ersten Phishing-Klick bis zur vollständigen Kompromittierung und Persistenz vergehen

Die Anatomie eines modernen, mehrstufigen E-Mail-Angriffs

Phase 1: Die Phishing-E-Mail

In unserem simulierten Szenario haben wir ein weit verbreitetes LLM verwendet, um eine realistisch aussehende E-Mail mit einer SharePoint-Dokumentenbenachrichtigung zu erstellen.

Unser KI-Prompt war einfach: Es sollte eine Microsoft SharePoint-Benachrichtigung imitiert werden, die das Opfer darüber informiert, dass ein Kollege ein Compliance-Dokument geteilt hat, das einer sofortigen Überprüfung bedarf. 

Der anfängliche E-Mail-Angriffsablauf. KI-generiertes Bild zu Illustrationszwecken.

Das LLM erstellte eine E-Mail, die strukturell nicht von einer legitimen SharePoint-Benachrichtigung zu unterscheiden war: korrekte Formatierung, angemessener Ton, realistische Metadaten und ein plausibler Geschäftskontext. Der gesamte Prozess dauerte nur wenige Minuten.

Die KI-generierte Phishing-E-Mail

Mehrere Elemente machen diese E-Mail effektiv, und keines von ihnen beruht darauf, dass das Opfer unvorsichtig ist. Sie umfassen die Verwendung von Begriffen mit Autorität und Dringlichkeit, wie „Verstoß“ und Warnungen vor einer Kontosperrung. Dadurch wird die Zielperson unter Druck gesetzt, zu handeln, anstatt die Nachricht zu hinterfragen.

Die Präsentation entspricht dem Stil der Marke: Inline-eingebettete Bilder, das exakte Farbschema von Microsoft (#0078d4), Segoe UI-Typografie und ein pixelperfekter Datenschutz-Footer entsprechen allesamt echten Microsoft-E-Mails.

Die Schaltfläche „Identität überprüfen“ verweist auf die Abhör-Proxy-Domäne (AitM) der Angreifer. Auf den ersten Blick sieht die URL legitim aus, obwohl ein wachsamer Nutzer die Anomalie erkennen könnte. Sie ist jedoch hinter einer Schaltfläche verborgen, auf die die meisten Nutzer klicken, ohne sie zu überprüfen.

Phase 2: Diebstahl von Zugangsdaten und Sitzungsdaten

Die Phishing-E-Mail landet um 21:14 UTC im Posteingang des Nutzers.

Unser Opfer klickt 21 Minuten später, um 21:35 UTC, auf den Link. Er erhält eine Anmeldeseite, die wie die echte Microsoft-Seite aussieht, weil sie auch so funktioniert. Die Seite wird jedoch vom AiTM-Phishing-Framework Evilginx kontrolliert. Evilginx sitzt in der Mitte und erfasst alles, was der Nutzer eingibt.

Um 21:36 UTC, innerhalb von 60 Sekunden, hat der Nutzer seine Zugangsdaten eingegeben.

Anmeldeseite für einen Adversary-in-the-Middle-Angriff

Evilginx leitet diese Zugangsdaten an login.microsoftonline.com weiter und wartet auf die Antwort von Microsoft. Sowohl für Microsoft als auch für den Nutzer scheint dies ein normaler Anmeldeversuch zu sein.

Inzwischen wurden die Zugangsdaten des Opfers kompromittiert, aber das ist nicht das wahre Ziel der Angreifer.

Um 21:37 UTC erhält der Nutzer eine Antwort von Microsoft, in der er zur MFA aufgefordert wird.

Die MFA-Anfrage von Microsoft wird von Evilginx abgefangen und an das Opfer weitergeleitet. Der Nutzer öffnet seine Authenticator-App und führt die MFA durch, wie er es wahrscheinlich mehrmals täglich tut.

Microsoft authentifiziert den Nutzer und gibt einen Session-Cookie zurück. Da Evilginx als Vermittler fungiert, gelangt der Session-Cookie zuerst zu den Angreifern und wird dann weitergeleitet.

Innerhalb von zwei Minuten, nachdem das Opfer um 21:37 UTC auf den Phishing-Link geklickt hat, hat Evilginx bereits den Benutzernamen und das Passwort, den Cookie sowie die Sitzungsdetails erfasst. 

E-Mail, Passwort und Session-Cookie von Evilginx gestohlen

In der Rolle der Angreifer öffnen wir unseren eigenen Browser, fügen den gestohlenen Session-Cookie ein und rufen outlook.office.com auf. Microsoft erkennt eine gültige, authentifizierte Sitzung und stellt das Postfach bereit. Aus Sicht von Microsoft handelt es sich um den Nutzer, der seine Sitzung fortsetzt.  

Angreifer haben vollen Zugriff auf das kompromittierte Konto.

Wir befinden uns jetzt im Konto. Als Angreifer können wir E-Mails lesen, uns als Nutzer ausgeben und E-Mails senden, auf SharePoint und OneDrive zugreifen, Posteingangsregeln erstellen, um unsere Aktivitäten zu verbergen (siehe unten), und bösartigen OAuth-Apps zustimmen, die auch nach Ablauf der Sitzung persistieren.

Phase 3: Ausführung von ClickFix

In unserer Simulation haben wir dem AiTM-Angriff eine zusätzliche Ebene hinzugefügt. Das Opfer wird aufgefordert, weitere Überprüfungsschritte durchzuführen, bevor der Zugang gewährt wird.

Um 21:38 UTC erscheint ein neues Fenster:

Eine typische ClickFix-Aufforderung, die sich als „Schnelllösung“ tarnt, um die Identität des Opfers vor der Anmeldung zu überprüfen.

Innerhalb einer Minute, um 21:39 Uhr, hat das Opfer auf die Schaltfläche „Bestätigungscode kopieren“ geklickt, wodurch der von uns erstellte Befehl in seine Zwischenablage eingefügt wurde.

Er folgt den nächsten beiden Schritten des Prompts, ohne zu merken, dass damit eine Webanfrage ausgelöst wurde, um ein PowerShell-Skript herunterzuladen und auszuführen, das auf einem anderen Rechner gehostet wird.

Im Hintergrund nutzt diese Technik eine Methode namens „Clipboard Hijacking“. Dies entfernt die Notwendigkeit, das Opfer davon zu überzeugen, den Befehl manuell zu „kopieren“, und hilft, ihn verborgen zu halten.

Bei aggressiveren Varianten wird der Code beim Aufruf der Seite in die Zwischenablage des Opfers kopiert, ohne dass eine weitere Interaktion erforderlich ist. Das alles geschieht mit ein paar JavaScript-Zeilen, wie unten zu sehen:

JavaScript wird verwendet, um Text bei Mausbewegung ohne weitere Nutzerinteraktion zu kopieren

Sobald die Nutzlast in die Zwischenablage kopiert wurde, basieren die nächsten Schritte auf bekannten Windows-Tastaturbefehlen. Dazu gehören:

• „Win+R“ öffnet ein Tool, um schnell auf Anwendungen oder bestimmte Bereiche innerhalb von Windows zugreifen zu können. Dieses Tool ist Systemadministratoren vertraut, aber nicht technischen Nutzern.
• „Win+V“ ist ein häufig verwendetes Tastaturkürzel zum Einfügen von Inhalten in die Zwischenablage. Der Nutzer drückt einfach die „Enter“-Taste, sobald der Inhalt in das offene Feld eingefügt wurde. Dadurch wird ein PowerShell-Befehl oder Eingabebefehl gestartet, der wiederum einen PowerShell-Befehl auslöst.

Eine technische Aufschlüsselung einer in freier Wildbahn gesehenen ClickFix-Nutzlast

Hinweise für technische Teams zu Merkmalen, die häufig in diesen Befehlen vorkommen:

• Umgehung der Ausführungsrichtlinie, um Warnungen zur Skriptausführung oder Bestätigungsaufforderungen zu überspringen. Suche nach: -ep bypass, -ExecutionPolicy Bypass, -ex b
• Verdeckte Befehle, einschließlich Backticks (für PowerShell) und Anführungszeichen (für CMD). Sie werden vom Terminal generell ignoriert. Es wurde auch eine Verkettung beobachtet.
• Ausführungsverkettung, typischerweise von CMD nach PowerShell.
• Flags um sicherzustellen, dass Fenster beim Start ausgeblendet werden. Zum Beispiel „-WindowStyle Hidden“ in PowerShell, was in den Eingabebefehlen zu „-wh“ oder „headless“ abgekürzt werden kann.
• Webanfragen, einschließlich aber nicht beschränkt auf PowerShell „Invoke-Webrequest“, „iwr“, „DownloadString“, „Start-BitsTransfer“.
• Aufruf einer externen Website. Dies äußert sich sowohl in fest codierten IP-Adressen als auch in neu registrierten Domains, die als Command-and-Control-Server oder Staging-Server genutzt werden, auf denen Malware gehostet wird.

Phase 4: Persistenz aufbauen

Sobald der Befehl erfolgreich ausgeführt wurde, kann die Aktivität je nach Angreifern und deren Zielen unterschiedlich verlaufen.

Unser Team hat ein schnelles und einfaches Skript erstellt, das die Persistenz über WMI-Event-Abonnements herstellt. Dies beginnt um 21:40 UTC – fünf Minuten nachdem das Opfer die Phishing-E-Mail geöffnet hat. Es läuft wie folgt ab: ein (für Simulationszwecke harmloser) Zeitplan wird in einem 60-Sekunden-Intervall festgelegt, um ein TXT-Dokument zu erstellen und anzuhängen. In einem realen Vorfall würde dieses Skript wahrscheinlich einen Bereitstellungsmechanismus enthalten, der die Payload abruft, sodass es die festplattenbasierte Erkennung umgehen kann.

Beliebte Methoden der Persistenz:

• Geplante Aufgaben: Die Nutzlast erstellt eine geplante Aufgabe, die bei der Anmeldung des Nutzers oder in festgelegten Intervallen mit erhöhten Privilegien erneut ausgeführt wird, wobei oft LOLBins (legitime Windows-Dienstprogramme wie powershell.exe, mshta.exe rundll32.exe, oder cmd.exe) genutzt werden, um der Erkennung zu entgehen. Diese Aufgaben bestehen auch nach Systemneustarts weiter.
• Registry-Run-Schlüssel: Die Payload fügt einen Registrierungswert unter HKCU\Software\Microsoft\Windows\CurrentVersion\Run (oder RunOnce für eine einmalige Ausführung) hinzu. Bei der Nutzeranmeldung führt Windows automatisch alles aus, was in diesen Schlüsseln hinterlegt ist.
• WMI-Ereignisabonnements: Mit PowerShell erstellen die Angreifer eine neue Aufgabe mit dem Cmdlet „Set-WmiInstance“, wobei sie die Aufgabe und ihren Auslöser definieren. Dies ist eine evasive Methode zur Planung von Aufgaben, im Vergleich zu geplanten Aufgaben, da sie schwerer einzusehen sind, weniger Protokolle generieren und von Incident-Response-Tools oft zunächst übersehen werden.

Phase 5: Der Angriff nimmt seinen Lauf – Rechteausweitung, Datenexfiltration, Verschlüsselung und mehr

Sobald die Angreifer einen zuverlässigen Zugang zum Netzwerk haben, werden sie versuchen, sich privilegierten Zugriff auf die Umgebung zu verschaffen. Wenn sie Erfolg haben, können sie ihren Angriff ausweiten, um die Exfiltration, Zerstörung oder Verschlüsselung von Daten und mehr zu veranlassen – alles ermöglicht durch den Erfolg der ersten Phishing-E-Mail.

Praktische Schritte für mehr Sicherheit

Um das Risiko zu verringern und die Auswirkungen eines Angriffs abzumildern, wird Organisationen empfohlen, Folgendes umzusetzen:

• Phishingresistente MFA (wie Sicherheitsschlüssel). Hardware-Schlüssel funktionieren nur auf legitimen Websites, sodass Angreifer Nutzer nicht dazu bringen können, sich über gefälschte Seiten anzumelden und dann ihre Sitzungen zu stehlen. Solche Schlüssel umfassen YubiKeys, die Nutzer vor Proxy-Seiten schützen. YubiKeys verwenden FIDO2/WebAuthn, ein Protokoll, das die Authentifizierung an die spezifische Domain bindet, die der Nutzer besucht.
• E-Mail-Authentifizierung sichern (durch Branchenstandards DMARC, SPF und DKIM). Domain-basierte Message Authentication, Reporting & Conformance (DMARC) ist die übergreifende Richtlinienebene für Tools, die überprüfen, ob die IP eines Absenders autorisiert ist, im Namen einer Domain zu senden, und ob die Nachricht während der Übertragung nicht manipuliert wurde. Richtig konfiguriertes DMARC hilft, gefälschte E-Mails zu blockieren, bevor sie Nutzer erreichen.
• Nutzer dahingehend schulen, ungewöhnlichen Anfragen nicht nachzukommen und diese zu überprüfen. Insbesondere alles, was sie dazu auffordert, Befehle einzufügen, Fehler zu „beheben“ oder sich dringend anzumelden.
• Sich nicht darauf verlassen, dass Nutzer bösartige E-Mails erkennen. Da KI-generierte Phishing-Angriffe realistisch und fehlerfrei aussehen, müssen Sicherheitstools einen größeren Teil der Erkennungsarbeit übernehmen.
• Verdächtige Anmeldesitzungen und verdächtiges Verhalten überwachen. AiTM-Angriffe verwenden gestohlene Sitzungstoken, also suchen Sie nach Anmeldungen von ungewöhnlichen Orten oder Geräten oder zu ungewöhnlichen Zeiten für diesen Nutzer.
• Riskantes Systemverhalten blockieren oder beschränken. Um Angriffe vom Typ ClickFix zu reduzieren, sollte der Zugriff auf Tools wie PowerShell, die Zwischenablage und „Run“-Befehle nach Möglichkeit eingeschränkt werden.
• Nach einer Kompromittierung auf Persistenztricks achten. Angreifer fügen häufig Posteingangsregeln, geplante Aufgaben oder Hintergrundskripte hinzu, um nach dem Login verborgen zu bleiben.
• Kontinuierliche, automatisierte, intelligente mehrschichtige Security einsetzen. Kein einzelnes Kontrollmittel kann fortschrittliche, ausweichende E-Mail-Angriffsketten stoppen. Sie brauchen in jeder Phase des Lebenszyklus eines Angriffs Transparenz und Abwehrmöglichkeiten.

Wie Barracuda Sie unterstützen kann

Barracuda hilft Unternehmen, sich vor komplexen E-Mail-Angriffen zu schützen, indem es Schutz und Cyber-Resilienz für E-Mails, Anwendungen, Daten und Netzwerke kombiniert. Weitere Informationen und Produktinformationen finden Sie unter BarracudaONE, Barracuda Integrated E-Mail Protection und Barracuda Managed XDR. Barracuda Managed XDR bietet auch Automated Threat Response (ATR) für E-Mails und beschleunigt so die Eindämmung von Bedrohungen in Echtzeit auf Posteingangsebene.

Indikatoren für eine Kompromittierung

IOCs bei Endgeräten

Alles Folgende kann über 4688-Protokolle (bei aktivierter Befehlszeilenüberwachung) oder über die meisten Endpunktlösungen erkannt werden.

• Flags für versteckte Fenster: -w hidden, -w h, headless
• Verschleierte Befehlszeilen: Backticks, Verkettung und Base64-Codierung
• Aufruf zu externen Webseiten, oft neu registriert, begleitet von Datenübertragungsbefehlen: curl -O https://example.com und DownloadString, iwr, WebClient
• WMI-Abonnements: wmiprvse.exe, das in regelmäßigen Abständen cmd oder PowerShell startet
• Verdächtiger Prozessbaum: Explorer.exe startet cmd.exe oder powershell.exe, ein deutlicher Hinweis darauf, dass der Befehl über das Dialogfeld „Ausführen“ ausgeführt wurde. Verschachtelte Befehle sind üblich: Explorer.exe – cmd.exe – powershell.exe

IOCs bei E-Mails

• Bulletproof-Hosting-Anbieter: VPNs werden häufig mit verdächtigen Aktivitäten in Verbindung gebracht, sind aber auch in seriösen Unternehmensumgebungen weltweit stark verbreitet, was sie zu einem eigenständigen Indikator macht. Ein aussagekräftigerer Trend, den Barracuda Managed XDR verfolgt, ist der Anstieg von Bulletproof-Hosting-Anbietern. Diese werden häufig für bösartige Aktivitäten missbraucht, und die Liste dürfte unter anderem DigitalOcean, PacketHub S.A., Clouvider Limited, ReliableSite LLC und DataCamp Limited umfassen.
• Posteingangsregeln: Eine der häufigsten Aktionen nach der Ausnutzung in unserem SOC ist die Erstellung bösartiger Posteingangsregeln. Diese Funktionen sind so konzipiert, dass sie bestimmte Nachrichten stillschweigend filtern, verbergen oder umleiten, sodass das Opfer die Übernahme seines Kontos nicht bemerkt.
  • Auf Schlüsselwörtern basierende Filterregeln zum automatischen Verschieben, Markieren als gelesen oder Löschen eingehender Nachrichten, die Begriffe im Zusammenhang mit dem Angriff enthalten, wie z. B. gehackt, verdächtig, Fraud, unberechtigt, Zahlung, Rechnung, usw.
  • Automatische Weiterleitungsregeln, die Kopien von Nachrichten, die mit finanziellen Schlüsselwörtern übereinstimmen, stillschweigend an eine vom Angreifer kontrollierte externe Adresse senden.
  • Regeln zum Verschieben in Ordner, die sensible Nachrichten in selten geprüfte Ordner wie RSS-Feeds, Konversationsverlauf und Archiv verschieben.

Da diese Regeln im Hintergrund aktiv sind und auch nach dem Zurücksetzen des Passworts bestehen bleiben (sofern sie nicht explizit entfernt werden), ist das Erkennen und Beheben bösartiger Posteingangsregeln ein entscheidender Schritt bei jeder Untersuchung von E-Mail-Kompromittierungen.