Phishing über Kalendereinladungen verstehen: Wie Angreifer .ics- Dateien missbrauchen und wie Sie sich dagegen verteidigen können

Forscher von Barracuda erklären, was Sie über diesen wachsenden Angriffsvektor wissen müssen

Die wichtigsten Erkenntnisse

• Angreifer nutzen zunehmend vertrauenswürdige Kalendereinladungen und .ics-Dateien, um herkömmliche E-Mail-fokussierte Phishing-Abwehrmaßnahmen zu umgehen.
• Bösartige Kalendereinträge können Phishing-Links, QR-Codes und gefälschte geschäftliche Anfragen enthalten, die Opfer auf Websites zum Abgreifen von Zugangsdaten führen.
• Um die E-Mail-Sicherheit zu stärken, sollten Unternehmen .ics- Dateien überprüfen, Identitätsaktivitäten überwachen und Nutzer darüber aufklären, dass Kalendereinladungen Phishing-Angriffe sein können.

Die meisten Menschen denken bei Phishing an eine bösartige E-Mail, die einen verdächtigen Link oder Anhang enthält. Immer häufiger gehen Angreifer jedoch über den Posteingang hinaus und missbrauchen vertrauenswürdige geschäftliche Tools, darunter Kalender und Meeting-Einladungen.

Warum verwenden Angreifer Kalendereinladungen?

Modernes Kalender-Phishing funktioniert, weil Mitarbeiter Kalender zunehmend für Fristen, Erinnerungen, Schulungsanforderungen, Compliance-Aktivitäten und Unternehmensankündigungen nutzen, wodurch eine Kalendereinladung ohne Besprechung völlig normal erscheint.

Kalendereinladungsdateien bieten mehrere Vorteile für Angreifer:

• Organisationen vertrauen Kalendereinladungen.
• Mitarbeiter sind es gewohnt, jeden Tag Meeting-Anfragen, Kalenderbenachrichtigungen und Erinnerungen zu senden und zu empfangen.
• Security-Tools haben sich in der Vergangenheit mehr auf E-Mail-Texte und -Anhänge als auf Kalenderinhalte konzentriert.
• Kalendereinladungen werden dem Kalender des Nutzers oft automatisch und mit geringer oder gar keiner Interaktion seitens des Empfängers hinzugefügt – und bleiben häufig bestehen, selbst wenn die ursprüngliche E-Mail gelöscht oder isoliert wird.
• Mobilgeräte verarbeiten häufig Kalenderbenachrichtigungen, was die Sichtbarkeit für einige desktopfokussierte Security-Kontrollen verringert.

So funktionieren Kalender-Phishing-Angriffe

Legitime Geschäftsprozesse, einschließlich in den Bereichen HR, Finanzen, IT und Security, nutzen Kalendereinträge für Aufgaben, die keine Meetings betreffen, wie z. B. Fristen zur Bestätigung von Richtlinien, Überprüfungen des HR-Handbuchs, Zeitfenster für die Anmeldung zu Sozialleistungen und Erinnerungen an Compliance-Schulungen.

Eine typische Kampagne beginnt mit einer einfachen E-Mail, die eine Kalendereinladung (eine .ics- Datei) enthält. Die E-Mail selbst enthält möglicherweise kaum Informationen außer einer Betreffzeile, die sich auf einen routinemäßigen Geschäftsprozess bezieht, wie z. B.:

• Aktualisierungen der HR-Richtlinien
• Überprüfungen von Mitarbeiterhandbüchern
• Anmeldung für Zusatzleistungen
• Compliance-Benachrichtigungen
• Lohnbuchhaltungs- oder Administrationsmaßnahmen

Wenn der Empfänger die Einladung öffnet, zeigt die Kalenderanwendung Inhalte an, die in dem Ereignis selbst eingebettet sind. Diese Inhalte können Unternehmens-Branding, Anweisungen, Bilder oder QR-Codes enthalten, die legitim erscheinen, das Opfer jedoch in der Regel auf eine gefälschte Anmeldeseite leiten, die von den Angreifern kontrolliert wird. Dieser Prozess wird häufig über eine Adversary-in-the-Middle (AiTM)-Phishing-Plattform verwaltet.

Wenn der Nutzer seine Zugangsdaten eingibt und die Multi-Faktor-Authentifizierung (MFA) abschließt, können die Angreifer den Benutzernamen, das Passwort und die Daten der Authentifizierungssitzung erfassen und verwenden, um auf das Konto zuzugreifen.

Warum Kalenderdateien effektive Phishing-Container sind

Das iCalendar-Format (.ics) wurde entwickelt, um den Austausch von Termininformationen zwischen Outlook, Google Calendar, Apple Calendar und anderen Plattformen zu ermöglichen. Um diese Interoperabilität zu unterstützen, enthalten Kalenderdateien eine breite Palette von Informationen, darunter:

• Ereignistitel
• Beschreibungen
• Details zum Veranstalter
• Standorte
• Anhänge
• URLs
• Benutzerdefinierte Metadatenfelder

Diese Funktionen sind für legitime Terminplanungszwecke nützlich, bieten aber auch zahlreiche Missbrauchsmöglichkeiten.

Angreifer können Phishing-Inhalte in Ereignisbeschreibungen platzieren, Links in Standortfeldern einbetten, bösartige Anhänge einfügen oder HTML-formatierte Inhalte verwenden, um überzeugend wie interne Kommunikation wirkende Mitteilungen zu erstellen. Da sich dieser Inhalt eher in Kalendermetadaten als im E-Mail-Text befindet, überprüfen einige Security-Kontrollen ihn möglicherweise nicht so gründlich.

Die Verwendung von QR-Codes hilft Angreifern auch dabei, die herkömmliche linkbasierte Erkennung zu umgehen.

Anstatt eine sichtbare URL anzuzeigen, ist das Ziel in einem Bild eingebettet. Security-Tools dekodieren QR-Inhalte möglicherweise nicht automatisch, Nutzer können das Ziel vor dem Besuch nicht einfach prüfen, Mobilgeräte greifen häufig außerhalb überwachter Desktop-Umgebungen auf Links zu und Weiterleitungsketten können das finale Phishing-Ziel verbergen.

Dieser „mobile Pivot“ ist für Angreifer besonders wertvoll, da er Aktivitäten vom Unternehmensarbeitsplatz und den zugehörigen Sicherheitskontrollen wegbewegt.

Worauf Security-Teams achten sollten

Effektive E-Mail-Sicherheit erfordert Transparenz über die gesamte Angriffskette hinweg, nicht nur bei der E-Mail-Zustellung.

Nützliche Indikatoren umfassen:

• E-Mail-Indikatoren wie z. B. minimaler E-Mail-Inhalt, externe Absender, unerwartete .ics- Anhänge, Dringlichkeit mit HR- oder IT-Bezug und neu beobachtete Sendeinfrastruktur.
• Kalenderindikatoren, wie z. B. Rich-HTML-Inhalte in Einladungen, eingebettete Bilder oder QR-Codes, in Ereignisfeldern versteckte Links, Abweichungen beim Organisator und die übermäßige Verwendung benutzerdefinierter X-Felder.
• Identitätsindikatoren wie Anmeldungen von unbekannten Geräten, unerwartete MFA-Aktivitäten, riskante Authentifizierungsereignisse, Sitzungserstellung kurz nach der Einladungszustellung, OAuth-Einwilligungsaktivitäten und Indikatoren für die Token-Wiederverwendung.
• Persistenzindikatoren, wie etwa, wo die Kalenderdatei verbleibt, nachdem die ursprüngliche E-Mail gelöscht, unter Quarantäne gestellt oder in den Spam-Ordner verschoben wurde.

Wie Unternehmen sich schützen können

Behandeln Sie Kalendereinladungen als aktive Inhalte und prüfen Sie .ics-Dateien mit der gleichen Sorgfalt wie herkömmliche Anhänge.

Dies sollte das Parsen von Kalender-Metadatenfeldern, die Analyse eingebetteter Links und Anhänge, die Prüfung von HTML-gerenderten Inhalten sowie das Dekodieren von QR-Codes und die Analyse der resultierenden URLs umfassen.

Wenn eine bösartige .ics-Datei erkannt wird, ist es wichtig, sicherzustellen, dass Incident Response sowohl die Zustellnachricht als auch den zugehörigen Kalendereintrag aus betroffenen Postfächern entfernt.

Stärken Sie die Identitätssicherheit. Zu den empfohlenen Maßnahmen gehören die Implementierung Phishing-resistenter MFA wie FIDO2 oder WebAuthn, die Einführung von Richtlinien für bedingten Zugriff, die Sitzungsüberwachung und Funktionen für den schnellen Widerruf sowie Maßnahmen zur Erkennung von verdächtigem Anmeldeverhalten und Token-Missbrauch.

Stärken Sie das Nutzerbewusstsein Nutzer sollten verstehen, dass Kalendereinladungen bösartig sein können und dass sie bei QR-Codes in Kalenderereignissen vorsichtig sein und alle unerwarteten Benachrichtigungen zu Personalthemen, Gehaltsabrechnungen oder Richtlinien überprüfen sollten. Nutzer sollten besonders vorsichtig sein, wenn Inhalte, die nicht zu Besprechungen gehören, wie z. B. Richtliniendokumente, als .ics- Datei geteilt werden.

Fazit

Kalendereinladungen sind nicht mehr nur Werkzeuge zur Terminplanung. Angreifer nutzen sie zunehmend als Phishing-Vehikel, da sie vom Vertrauen der Nutzer profitieren, die herkömmliche E-Mail-zentrierte Erkennung umgehen können und oft noch lange bestehen bleiben, nachdem die ursprüngliche Nachricht verschwunden ist.