Neue Phishing-Strategien bedrohen Microsoft 365-Nutzer

LONDON (IT BOLTWISE) – In einer zunehmend digitalisierten Welt sind Cyberangriffe allgegenwärtig, und die Methoden der Angreifer werden immer raffinierter. Eine neue Phishing-Kampagne hat es auf Microsoft 365-Nutzer abgesehen und nutzt dabei legitime Dienste, um Sicherheitsmaßnahmen zu umgehen.

Cybersecurity-Experten haben eine neue Phishing-Kampagne aufgedeckt, die sich legitimer Dienste bedient, um Microsoft 365-Anmeldedaten zu stehlen. Die Angreifer nutzen sogenannte Link-Wrapping-Dienste von Anbietern wie Proofpoint und Intermedia, um bösartige Nutzlasten zu verschleiern und Sicherheitsmaßnahmen zu umgehen. Diese Dienste sind eigentlich dazu gedacht, Nutzer zu schützen, indem sie alle angeklickten URLs durch einen Scan-Service leiten, der bekannte bösartige Ziele blockieren kann. Doch die Angreifer nutzen die Tatsache aus, dass ein umwickelter Link nicht als bösartig erkannt wird, wenn er zum Zeitpunkt des Klicks noch nicht als solcher markiert ist.

Die beobachteten Aktivitäten zeigen, wie geschickt Bedrohungsakteure legitime Funktionen und vertrauenswürdige Tools zu ihrem Vorteil nutzen, um bösartige Aktionen durchzuführen. In diesem Fall werden Opfer auf Phishing-Seiten von Microsoft 365 umgeleitet. Besonders bemerkenswert ist, dass die Angreifer unbefugten Zugriff auf E-Mail-Konten erlangen, die bereits die Link-Wrapping-Funktion innerhalb einer Organisation nutzen. Dadurch wird jede E-Mail-Nachricht mit einem bösartigen URL, die von diesem Konto gesendet wird, automatisch mit dem umwickelten Link versehen.

Ein weiterer wichtiger Aspekt ist der sogenannte “multi-tiered redirect abuse”, bei dem die Angreifer ihre bösartigen Links zunächst mit einem URL-Kürzungsdienst wie Bitly verschleiern und dann den verkürzten Link in einer E-Mail-Nachricht über ein Proofpoint-gesichertes Konto senden. Dies führt zu einer zweiten Verschleierung. Diese Vorgehensweise schafft eine Umleitungskette, bei der die URL durch zwei Ebenen der Verschleierung – Bitly und Proofpoints URL Defense – geleitet wird, bevor das Opfer auf die Phishing-Seite gelangt.

In den von der Web-Infrastruktur-Firma beobachteten Angriffen tarnen sich die Phishing-Nachrichten als Voicemail-Benachrichtigungen und fordern die Empfänger auf, auf einen Link zu klicken, um sie abzuhören. Letztendlich werden sie auf eine gefälschte Microsoft 365-Phishing-Seite geleitet, die darauf ausgelegt ist, ihre Anmeldedaten zu erfassen. Alternativ verwenden die Angreifer dieselbe Technik in E-Mails, die Benutzer über ein angeblich erhaltenes Dokument auf Microsoft Teams informieren und sie dazu verleiten, auf präparierte Hyperlinks zu klicken.

Eine dritte Variante dieser Angriffe gibt sich als Teams aus und behauptet, dass ungelesene Nachrichten vorliegen, die durch Klicken auf den eingebetteten “Reply in Teams”-Button beantwortet werden können, was die Opfer auf Seiten zur Erfassung von Anmeldedaten umleitet. Durch die Verschleierung bösartiger Ziele mit legitimen urldefense.proofpoint.com und url.emailprotection URLs erhöhen diese Phishing-Kampagnen die Wahrscheinlichkeit eines erfolgreichen Angriffs erheblich.

Diese Entwicklung kommt zu einer Zeit, in der Phishing-Angriffe zunehmen, die SVG-Dateien (Scalable Vector Graphics) nutzen, um traditionelle Anti-Spam- und Anti-Phishing-Schutzmaßnahmen zu umgehen und mehrstufige Malware-Infektionen einzuleiten. SVG-Dateien, die in XML geschrieben sind und JavaScript- und HTML-Code unterstützen, können Skripte, Hyperlinks und interaktive Elemente enthalten, die durch das Einbetten von bösartigem Code in harmlose SVG-Dateien ausgenutzt werden können.

Phishing-Kampagnen wurden auch beobachtet, die gefälschte Zoom-Videokonferenz-Links in E-Mails einbetten, die beim Anklicken eine Umleitungskette zu einer gefälschten Seite auslösen, die eine realistisch aussehende Benutzeroberfläche nachahmt. Danach wird eine “Meeting-Verbindung abgelaufen”-Nachricht angezeigt, und die Opfer werden auf eine Phishing-Seite geleitet, die sie auffordert, ihre Anmeldedaten einzugeben, um dem Meeting erneut beizutreten. Leider werden anstelle des erneuten Beitritts die Anmeldedaten des Opfers zusammen mit ihrer IP-Adresse, ihrem Land und ihrer Region über Telegram, eine für “sichere, verschlüsselte Kommunikation” berüchtigte Messaging-App, an den Bedrohungsakteur gesendet.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!