LONDON (IT BOLTWISE) – Eine RMM-Phishingkampagne, die angeblich mit kanadischen Steuerformularen gestartet ist, zielt inzwischen auf 46 Länder. Laut ANY.RUN entfallen etwa 45% der beobachteten Aktivitäten auf die USA. Insgesamt wurden 601 Fälle mit der breiteren Operation verknüpft, die mit gefälschten Dokumenten Opfer zum Installieren legitimer Remote-Management-Software bewegen soll. Entscheidend für SOC-Teams ist laut den Beobachtern vor allem der Abgleich von Lieferkette und Verhalten, weil Domains und Infrastruktur täglich wechseln.
Was auf den ersten Blick wie ein klassischer Phishing-Feldzug aussieht, entpuppt sich bei genauer Betrachtung als Angriff auf ein ganzes Betriebsmodell: Remote Monitoring and Management, kurz RMM, soll bei administrativen Teams eigentlich Transparenz schaffen. In der aktuellen Kampagne wird diese Vertrauensbasis systematisch ausgenutzt. Die Operation richtet sich nach den vorliegenden Analysen auf 46 Länder, wobei etwa 45% der beobachteten Aktivität den USA zugeordnet werden. Damit steht die USA nicht nur geografisch, sondern auch operativ im Zentrum der Bemühungen: Die Angreifer passen die Inhalte ihrer Köder an die Zielgruppen an und erhöhen so die Trefferquote beim Initialzugriff.
Im Kern arbeiten die Täter mit gefälschten Dokumenten, die Nutzer zum Installieren von RMM-Software bewegen sollen, die auf der Oberfläche „legitim“ erscheint. Laut ANY.RUN wurden 601 Fälle mit der breiteren Operation verbunden. Technisch wichtig ist dabei weniger die reine Malware-Identifikation als die Delivery-Mechanik: Die Angreifer rotieren die Lures und die Einbettung in Mail- oder Browser-Kontexte. Genannt werden dabei unter anderem Versand- und UPS-Kommunikationen, Adobe-PDFs, Steuerbescheide, Motive rund um die US Social Security Administration, Rechnungen sowie weitere Dokumentarten, die in der Praxis typischerweise in der täglichen Kommunikation auftauchen.
Besonders auffällig ist die Dynamik der Infrastruktur. Die Kampagne wechselt ihre Lieferkomponenten deutlich schneller als ihr Angriffsmuster. Die Forscher identifizierten 425 „kit URLs“ über 240 Hosts; 94% dieser URLs seien nur an einem einzigen Tag beobachtet worden. Für die Zustellung wurden demnach unter anderem Vercel, GitHub Pages und Netlify eingesetzt, ergänzt durch kompromittierte Websites. Auch beim Staging der Payloads werden zahlreiche Dienste genannt, darunter Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox und GoFile. Für die Verteidigung bedeutet das: Reputation und einzelne IOC-Signaturen werden schnell wertlos, wenn die Infrastruktur selbst täglich „veraltet“.
Trotz dieser schnellen Rotation bleibt nach den Analysen eine Reihe wiederkehrender Spuren erhalten, die nicht nur auf Domain-Ebene funktionieren. Die Untersucher führen gemeinsam genutzte Assets an, etwa „font1.woff2“, sowie wiederkehrende Bildressourcen. Zusätzlich hilft ein spezielles Delivery-Pattern beim Verbinden sonst separater Infrastrukturfragmente: die Struktur „secure.html → project/*.zip“. Diese Art von Fingerprints ist in SOC-Umgebungen besonders relevant, weil sie der Logik folgt, wie Angreifer ihre Lieferkette tatsächlich aufbauen: nicht über ein einzelnes Zielobjekt, sondern über ein konsistentes Schema, das sich im Hintergrund über verschiedene Hosts und Generatoren hinweg wiederholt.
Auch die Zielauswahl zeichnet ein klares Bild: Bildung, Technologie und Regierung zählen zu den Top-Industrien, daneben sind Banking, Finance und Fertigung deutlich vertreten. Der Angriff richtet sich damit nicht gegen eine isolierte Nische, sondern gegen Organisationen, in denen Remote-Zugriff, Automatisierung und Admin-Workflows regelmäßig verwendet werden. Genau deshalb reicht es nicht, nur auf „verdächtige“ Domain-Listen oder Malware-Verdikte zu setzen. Wenn einzelne Domains und RMM-Produkte austauschbar sind, braucht die Erkennung einen stabileren Bezugspunkt: die Kombination aus unautorisierter Remote-Access-Aktivität, der Art der Zustellung und dem Verhalten, das sich beim Ausführen von Installations- und Update-Schritten zeigt.
Für die Praxis im Security Operations Center heißt das, Kontrollen konsequenter entlang der Lieferkette aufzusetzen. Laut den Beobachtern sollten Teams eine produktunabhängige Abwehrstrategie verfolgen, weil legitime Software zwischen Anbietern oder Distributionen wechseln kann und dadurch Sichtbarkeitslücken entstehen. Statt sich ausschließlich auf rotierende Domains zu stützen, sollen stabilere Kit-Indikatoren priorisiert werden, die in der Kampagne wiederholt vorkommen. Ebenso rücken Mail-Layer-Kontrollen in den Fokus, etwa der Umgang mit Passwort-geschützten Archiv-Containern, die in Phishing-Workflows häufig als „Hürde“ dienen. Ergänzend wird in den Analysen betont, dass Analyseschritte im Sandbox-Umfeld helfen: Die Interaktive Sandbox habe Browseraktivität, Skripte, Prozesse, Downloads und Netzwerkverhalten sichtbar gemacht, während eine Threat-Intelligence-Lookup-Funktion persistentere Indikatoren mit Infrastruktur und Fällen in Beziehung setzt.
Auf der strategischen Ebene ist das weniger eine einzelne Kampagnenmeldung als ein Warnsignal für die kommende Erkennungsarbeit: Angreifer kombinieren zunehmend vertrauenswürdige Komponenten, „seriöse“ Dateiformate und bekannte Plattformen mit instabiler, kurzlebiger Bereitstellung. In so einem Szenario muss KI-gestützte Detektion vor allem Kontext operationalisieren: Was wurde genau ausgeliefert, wie wurde die RMM-Installation ausgelöst, und welche Verhaltensmuster laufen im Endpunkt und im Netzwerk synchron ab? Dass die Operation 16.000+ Organisationen in einem Datenkontext auswertet (so die Eigendarstellung von ANY.RUN), unterstreicht dabei den Bedarf an breitem Telemetrie-Material. Für Unternehmen ergibt sich daraus eine klare Leitlinie: Investitionen in Verhaltenserkennung und vollständige Prozess- sowie Netzwerkpfade zahlen sich eher aus als die Jagd nach einzelnen, kurzfristig auslaufenden IOCs.
Die nächsten Schritte für Betreiber von RMM-Umgebungen sind daher nicht nur technischer Natur. Prozesse wie Freigaben, Least-Privilege und die saubere Trennung zwischen Admin-Workflows und Nutzerinteraktionen müssen so weit wie möglich auch dann funktionieren, wenn der Installer aus einem vermeintlich harmlosen Dokument heraus startet. Gleichzeitig sollten SOC-Teams ihre Erkennungslogik auf „Delivery-Chain statt IOC-Schnappschuss“ umstellen, weil genau diese Kombination in der beschriebenen Kampagne zum Unterschied zwischen Zufallserkennung und robustem Schutz wird. Wenn Infrastruktur täglich rotiert, bleibt nur das Verhalten als stabiler Anker.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "RMM-Phishing trifft die USA: KI-gestützte Abwehr braucht Kontext statt IOCs" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "RMM-Phishing trifft die USA: KI-gestützte Abwehr braucht Kontext statt IOCs" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »RMM-Phishing trifft die USA: KI-gestützte Abwehr braucht Kontext statt IOCs« bei Google Deutschland suchen, bei Bing oder Google News!