So lockt Microsoft Phishing-Betrüger in raffinierte Honeypot-Fallen

Microsoft nutzt seine mächtige Cloud-Infrastruktur seit einiger Zeit auch, um Kriminelle in die Falle zu locken. Täuschend echte "Honeypot"-Umgebungen in Azure sollen vor allem Phishing-Betreiber binden und ihnen Informationen entlocken.

Täuschend echte Simulationen

Diese Strategie wurde jetzt auf der BSides Exeter-Konferenz von Ross Bevington, einem führenden Sicherheitsingenieur bei Microsoft, erläutert. Bevington bezeichnet sich selbst als "Head of Deception" (Chef der Verschleierung) bei Microsoft. Durch die gesammelten Daten kann das Unternehmen demnach bösartige Infrastrukturen kartieren, komplexe Phishing-Operationen besser verstehen, großangelegte Kampagnen stören und die Aktivitäten von Cyberkriminellen erheblich verlangsamen.

Bevington und sein Team setzen dabei auf sogenannte "Hybrid High Interaction Honeypots", also Honigtöpfe, die Täter nicht nur anlocken, sondern diese auch zu umfassender, zeitraubender Interaktion verleiten. Diese imitieren komplette Microsoft-Kunden mit benutzerdefinierten Domainnamen, Tausenden von Nutzerkonten und simulierten Aktivitäten wie interner Kommunikation und Dateifreigaben.

Auf YouTube ansehen
Der Unterschied zu herkömmlichen Honeypots besteht darin, dass Microsoft die Täuschung aktiv einsetzt, anstatt nur darauf zu warten, dass Angreifer von selbst auf die Fallen stoßen. So besuchen Bevington und sein Team gezielt Phishing-Webseiten, die von Microsoft Defender erkannt wurden, und geben dort Anmeldedaten aus den Honeypot-Umgebungen ein. Da diese Anmeldedaten keine Zwei-Faktor-Authentifizierung erfordern und die Umgebung sehr realistisch wirkt, fühlen sich die Angreifer sicher und beginnen ihre Suche nach Schwachstellen.

30 Tage im Honeypot

Microsoft überwacht demnach täglich etwa 25.000 Phishing-Seiten. Rund 20 Prozent davon werden mit Honeypot-Anmeldedaten gefüttert, während der Rest durch CAPTCHA oder andere Anti-Bot-Mechanismen blockiert wird. In etwa 5 Prozent der Fälle gelingt es den Angreifern, sich in die gefälschten Umgebungen einzuloggen, woraufhin Microsoft jede ihrer Aktionen detailliert protokolliert. Dabei werden Informationen wie IP-Adressen, Browser, Standort, Verhaltensmuster und verwendete Phishing-Kits erfasst, erläuterte Bevington.

Zusätzlich verlangsamt Microsoft künstlich die Reaktionszeiten der Honeypot-Umgebungen, um den Angreifern noch mehr Zeit zu stehlen. Im Durchschnitt vergeuden die Cyberkriminellen bis zu 30 Tage, bevor ihnen klar wird, dass sie in eine Falle getappt sind. In dieser Zeit sammelt Microsoft wichtige Informationen, die es ermöglichen, die Angriffe bestimmten Gruppen, wie etwa der russischen Bedrohungsgruppe "Midnight Blizzard" (auch bekannt als Nobelium), zuzuordnen.


Siehe auch: