Hacker versuchen, Microsoft-Konto-Anmeldedaten mit einem cleveren Google Drive-Betrug zu stehlen
Einige Anmeldeinformationen sind wertvoller als andere, und es überrascht nicht, dass die Phishing-Angriffe auf wichtige Konten in der Regel viel ausgefeilter und durchdachter sind. Im Januar stießen Forscher von Check Point auf eine Phishing-Kampagne, über die sie erst am Dienstag geschrieben hatten, und zeigten uns, wie schwierig es sein könnte, die gut konzipierten Angriffe zu erkennen.
Table of Contents
Betrüger versuchten, die Office 365-Anmeldeinformationen der Benutzer mit einem cleveren Phishing-Angriff zu stehlen
Die E-Mails wurden an Mitarbeiter von Organisationen gesendet, die Office 365 verwenden. Zunächst leitete die Nachricht das Opfer zu einer in der Cloud gehosteten PDF-Datei weiter, die einen Link enthielt, der angeblich zu einem freigegebenen Dokument führte, an dem der Mitarbeiter interessiert ist. Der Link wurde zu was weitergeleitet sieht aus wie eine SharePoint-Anmeldeseite, auf der der Benutzer aufgefordert wurde, sich anzumelden. Sie können dies entweder mit ihren Office 365-Anmeldeinformationen oder mit ihrer Organisations-ID tun. Unabhängig von der gewählten Option wird ein Popup mit einem überzeugend aussehenden Microsoft-Anmeldeformular angezeigt, und alle von ihnen eingegebenen Informationen werden direkt an die Gauner gesendet.
Wenn Sie die Screenshots von Check Point durchgehen, werden Sie feststellen, dass die Grammatik- und Rechtschreibfehler, die wir häufig mit Phishing-Angriffen verbinden, nirgends zu sehen sind. Die Formatierung ist ziemlich genau die gleiche wie beim Original, und während des gesamten Vorgangs können Benutzer leicht getäuscht werden, dass sie sich wirklich bei ihren Microsoft-Konten anmelden werden. Darüber hinaus werden sie nach Eingabe ihrer Anmeldeinformationen zu einem echten Bericht eines globalen Beratungsunternehmens weitergeleitet, der alles noch glaubwürdiger machen könnte. Dies ist nicht das einzige, was diesen Angriff von den anderen abhebt.
Die Phisher nutzten die Cloud-Dienste von Google ausgiebig
Das erste PDF, das die Opfer sahen, wurde auf Google Drive gehostet. Die SharePoint-Seite, auf die sie sich bezieht, wurde ebenfalls in die Cloud-Hosting-Dienste von Google hochgeladen, ebenso wie das böswillige Anmeldeformular.
Es ist natürlich nicht normal, eine Microsoft-Anmeldeseite zu sehen, die in einer Infrastruktur von Google gehostet wird, aber die Betrüger wussten, dass nur wenige Benutzer bei der Eingabe ihrer Anmeldeinformationen die Adressleiste genau beachten. Sie wussten auch, dass diejenigen, die dies tun, weniger misstrauisch werden, wenn sie eine Domain sehen, die sie erkennen.
Durch die Nutzung der Google-Dienste können die Phisher auch eine genaue Überprüfung sowohl durch automatisierte Tools als auch durch Systemadministratoren vermeiden, die die Aktivitäten der Mitarbeiter überwachen. Alles in allem hat die Verwendung der Google-Cloud die Wahrscheinlichkeit eines erfolgreichen Angriffs erhöht.
Der Angriff wurde von einer Gruppe erfahrener Phisher organisiert
Der Grad an Raffinesse, den die Phisher demonstrieren, sollte angesichts ihrer Erfahrung nicht so überraschend sein. Kurz nachdem sie den Angriff entdeckt hatten, benachrichtigten die Forscher Google und die schädlichen Seiten wurden entfernt. Bevor sie jedoch offline gingen, durchsuchten die Experten von Check Point den Quellcode und stellten fest, dass die Seiten zwar in der Google-Cloud gehostet wurden, der Großteil der Ressourcen jedoch von prvtsmtp [.] Com, einer externen Domain, geladen wurde.
Die Domain zeigte auf einen ukrainischen Server, der in einigen Phishing-Kampagnen verwendet wurde. Zunächst wurden die schädlichen Seiten selbst gehostet, und später war es Teil der Infrastruktur bei Angriffen, bei denen die Azure-Clouddienste von Microsoft verwendet wurden.
Die Forscher von Check Point haben dazu beigetragen, den im Januar entdeckten Angriff zu beenden, aber es ist unwahrscheinlich, dass sie die erfahrene Gruppe von Phishern, die dahinter stehen, endgültig aufhalten. Nur die Zeit wird zeigen, wie der nächste Schritt der Cyberkriminellen aussehen wird. In der Zwischenzeit müssen Mitarbeiter auf der ganzen Welt besonders vorsichtig sein, wo und wann sie ihre Anmeldeinformationen eingeben.
