Die neuesten E-Mail-Bedrohungen: echtes Microsoft-Login-Phishing, Gerätecode-Betrug mit einem Kill-Switch, Split-Click-Angriffe und der Wechsel zur Malware-Bereitstellung
Im Laufe des letzten Monats haben Forscher von Barracuda die folgenden E-Mail-Bedrohungen beobachtet, die sich gegen Unternehmen und deren Mitarbeiter richten:
- Phishing über echten Microsoft-Login zum Diebstahl von Sitzungstoken bei Tycoon-2FA-Angriff
- PDF-Anhänge, die für Phishing mit Gerätecodes und einen integrierten Kill-Switch verwendet werden
- Hinterhältiger 2FA-Phishing-Angriff mit Split-Click, bei dem eine Schaltfläche zwei Ergebnisse hat
- Verlagerung vom Zugangsdatendiebstahl zur Verbreitung von Malware in Phishing-Kampagnen
Echte Microsoft-Anmeldeseite wurde bei einem Tycoon-2FA-Angriff zum Abfangen von Sitzungstoken genutzt
So funktioniert der Angriff
Angreifer verwenden eine echte Microsoft-Anmeldeseite anstelle einer gefälschten Version, um die Sitzungstoken und Zugriffsberechtigungen der Nutzer abzufangen und so Zugriff auf die E-Mails, Online-Dateien und verknüpften Microsoft 365-Dienste des Opfers zu erhalten.
Die Nutzer erhalten eine legitim wirkende Warnung, dass ihr Posteingang fast voll ist, sowie eine Kalendereinladung zu einem Treffen mit dem Microsoft Security Team. Das Treffen wird im Hauptteil der E-Mail nicht erwähnt; stattdessen gibt es eine Schaltfläche zum Freigeben zurückgehaltener E-Mails.
Der Button ist eine Kalendereinladung, die zwar auf eine echte Microsoft-Anmeldeseite verlinkt, aber über die Tycoon 2FA Phishing-as-a-Service-Plattform geleitet wird. Im Wesentlichen haben die Angreifer ein eigenes Microsoft-Konto registriert und fordern das Opfer auf, seine Daten dort einzugeben.
Beispiel für eine Angriffs-E-Mail mit einer Schaltfläche, die den Empfänger zur echten Microsoft-Anmeldeseite weiterleitet
Der Nutzer gibt seine Zugangsdaten ein und erhält ein Sitzungstoken, das von den Angreifern erfasst wird.
In einem zusätzlichen Schritt werden die Opfer aufgefordert, ihre Zugangsdaten erneut einzugeben, diesmal jedoch auf einer gefälschten Seite – wodurch die Angreifer auch das Passwort stehlen können.
Die in dieser auf Tycoon 2FA basierenden Kampagne verwendeten Techniken tragen dazu bei, die Erfolgsaussichten der Angreifer zu erhöhen:
- Die meisten Phishing-Angriffe basieren auf gefälschten Webseiten. Hier verwenden Angreifer eine echte Microsoft-Domain, die viele Security-Prüfungen umgeht und sogar Mitarbeiter täuschen kann, die im Erkennen von Spoofing-URLs geschult sind.
- Die Erfassung von Sitzungstoken und OAuth-Berechtigungen verschafft den Angreifern sofortigen und dauerhaften Zugriff.
- Kalendereinladungen sind ein selten überwachter Angriffsvektor, weshalb sie sehr effektiv sind, um traditionelle E-Mail-Abwehrmaßnahmen zu umgehen.
Für technischere Teams:
In der Phase der bewaffneten OAuth-Autorisierung wird das Opfer zu einer legitimen Microsoft-OAuth-Autorisierung weitergeleitet, die von den Angreifern registriert wurde. Die Forscher beobachteten Folgendes:
Angriffscode für das Abfangen von Zugangsdaten von einer echten Microsoft-Anmeldeseite durch einen Adversary in the Middle
- client_id „16d628a6-9445-4210-8e5b-527b7c9c6191“: Dies ist eine bösartige Anwendung, die von den Angreifern in Microsoft Entra registriert wurde. Sie fordert Berechtigungen an, die auf Outlook beschränkt sind, und umfasst „offline_access“, wodurch ein Aktualisierungstoken für dauerhaften Zugriff gewährt wird.
- PKCE (code_challenge): Der Einsatz einer S256-Code-Herausforderung zeigt, dass die Infrastruktur der Angreifer Proof Key for Code Exchange (PKCE) unterstützt, wodurch der OAuth-Fluss noch legitimer und konsistenter mit modernen Authentifizierungsstandards erscheint.
PDF-Dateien werden für Phishing-Angriffe auf Gerätecodes mit integriertem Kill-Switch missbraucht
So funktioniert der Angriff
Die Angreifer haben verdächtige Links aus dem Hauptteil der Phishing-E-Mail entfernt und sie in einem PDF-Anhang eingefügt, wo sie weniger wahrscheinlich von URL-Scannern entdeckt werden.
In der von Barracuda-Forschern beobachteten Kampagne fordert die E-Mail den Empfänger auf, einen Anhang zu öffnen, der sich entweder auf ein Compliance- oder Zahlungsproblem bezieht. Ein Link in der PDF-Datei führt die Nutzer zu einem gefälschten Geräteauthentifizierungsprozess, der ihre Zugangsdaten und ihre geschäftliche E-Mail-Adresse erfasst.
Beispiel einer Phishing-E-Mail mit dem Tycoon-2FA-Gerätecode
Bei den zuvor gemeldeten Phishing-Angriffen mit Gerätecode wurden echte Microsoft-APIs verwendet. In dieser Kampagne erzeugen die Angreifer lokal gefälschte Gerätecodes im Browser, die den legitimen Gerätecode-Autorisierungsfluss nachahmen, den die Opfer durch das Verknüpfen von Apps und Geräten mit ihren Microsoft-Konten erkennen.
Der Einsatz von CAPTCHA blockiert das automatisierte Scannen und die Sandboxerkennung und stellt sicher, dass nur echte Nutzer die Phishing-Phase erreichen.
Die Kampagne zeichnet sich auch durch ihre kurzlebige Infrastruktur aus. Die Phishing-Seiten verfallen automatisch und verschwinden nach einer festgelegten Zeit. Dies schränkt die forensische Analyse bzw. die Erkennung nach einem Ereignis ein.
Angriffscode, der die Ablaufanweisungen für die Phishing-Seite zeigt
Sneaky 2FA-Angriff nutzt seltene „Split-Click“-Technik, bei der eine Schaltfläche zwei Ergebnisse hat
So funktioniert der Angriff
Barracuda-Forscher stießen auf einen E-Mail-Angriff, bei dem eine einzelne Schaltfläche abhängig davon, wo der Nutzer klickt, unterschiedlich reagierte.
Die E-Mail warnt Nutzer, dass ihr Postfach voll ist, und die Nachricht enthält eine Schaltfläche „Problem lösen“.
Ein Klick auf die obere Hälfte der Schaltfläche öffnet eine legitime Microsoft-Seite, während ein Klick auf die untere Hälfte eine bösartige Weiterleitung auslöst.
Die bösartige Option öffnet eine Blob-URL (eine vom Browser generierte Webseite), die über einen Link zu einer Phishing-Seite weiterleitet, die zur Sneaky 2FA Phishing-as-a-Service-Plattform gehört. Hier fangen die Angreifer Zugangsdaten und andere vertrauliche Informationen ab.
Die Split-Click-Interaktion ist eine selten angewandte Technik. Mit ihr lassen sich automatisierte Link-Analysen umgehen, damit Testtools nur die sichere Version sehen können.
Blob-URLs werden vom Browser dynamisch generiert und lassen sich mit herkömmlichen Tools nur schwer überprüfen oder blockieren.
Neue Taktiken: Phishing verlagert sich von der Erfassung von Zugangsdaten hin zu Malware
Ein steganografisches JavaScript, getarnt als harmloses PDF
Forscher von Barracuda haben einen Phishing-Angriff aufgedeckt, bei dem sich der typische Download einer „gefälschten Rechnung“ als bösartiges Skript entpuppt. Bei der Angriffs-E-Mail handelt es sich offenbar um eine routinemäßige Rechnungsbenachrichtigung, die den Opfern einen Link zu einem gefälschten Dokument mit dem Namen „Invoice.pdf (11,3 KB)“ anzeigt.
Anstatt jedoch eine Rechnung zu übermitteln, löst der Link den Download einer bösartigen JavaScript-Datei aus. Das Skript verbirgt seinen bösartigen Code im gefälschten Dokument mithilfe von Steganographie und Verschleierung. Nach der Ausführung kann es zusätzliche Malware laden, Systeminformationen sammeln, Persistenz einrichten und mit der vom Angreifer kontrollierten Infrastruktur kommunizieren.
Identitätsmissbrauchangriff verbreitet dateilose Malware
In dieser Kampagne geben sich die Angreifer als Social Security Administration aus, um eine bösartige JavaScript-Datei zu verteilen, die als PDF-Zahlungsbeleg getarnt ist. Das stark verschleierte Skript rekonstruiert eine versteckte URL, ruft eine zweite Nutzlaststufe von einem Remote-Server ab und führt diese direkt im Speicher mithilfe von Windows ActiveX-Komponenten aus.
Durch das Vermeiden von Dateiablagen und die Nutzung von In-Memory-Ausführung verringert die Malware ihre Sichtbarkeit für traditionelle Security-Tools und kann zur Auslieferung von Zugangsdaten-Dieben, Banking-Trojanern oder anderen bösartigen Nutzlasten eingesetzt werden.
Mehrstufiger Microsoft-Identitätsmissbrauch fördert die Täuschung
Die Forscher haben zudem einen Angriff beobachtet, bei dem eine HTML-Datei den Empfänger zu einer gefälschten OneDrive-Seite führte, die ihn wiederum zu einer Excel-Anmeldeseite weiterleitete. Diese Art von mehrstufiger Umleitung verbessert die Erfolgsraten beim Diebstahl von Zugangsdaten, indem bösartige Absicht effektiv verborgen wird.
So schützen Sie sich vor diesen Angriffen
- Schützen Sie nicht nur Passwörter, sondern auch Identitäten und Sitzungstoken.
- Erweitern Sie die Erkennung über E-Mails hinaus auf Kalender, Anhänge und Anmeldeabläufe.
- Nutzen Sie die Verhaltenserkennung, um schwer zu erkennende Angriffe aufzudecken.
- Investieren Sie in den Schutz von Anhängen und Endpunkten vor dateilosen und eingebetteten Bedrohungen.
- Eine schnelle Reaktionsfähigkeit ist wichtig, da Angriffe kurzlebig und schwer nachzuverfolgen sind.
- Die Schulungen sollten aktualisiert werden, um den aktuellen Phishing-Techniken Rechnung zu tragen, die herkömmliche Kontrollmechanismen umgehen.
Was MSP-Kunden als Nächstes brauchen – vom Backoffice bis in den Vorstand
Barracuda Research hat festgestellt, dass technische Exzellenz weiterhin unerlässlich ist, jedoch wird das künftige Wachstum von KI-Fachwissen, Cyberresilienz und der Fähigkeit, Risiken in geschäftlichen Begriffen zu vermitteln, vorangetrieben.
Abonnieren Sie den Barracuda-Blog.
Melden Sie sich an, um aktuelle Bedrohungsinformationen, Branchenkommentare und mehr zu erhalten.
Bericht zur Qualifikationslücke im Bereich Cybersecurity: KI-Risiko steht ganz oben auf der Liste
Die Umfrage von Barracuda unter 2.000 Security-Führungskräften ergibt, dass 94 % über Kompetenzlücken bei der Cybersecurity berichten, während KI gleichzeitig Einstiegspositionen im Security-Bereich reduziert, die zur Ausbildung künftiger Sicherheitsverantwortlicher beitragen.