Google OAuth: So umgehen Hacker die Sicherheitsfilter von Google Mail

Eine neu entdeckte Phishing-Methode nutzt Googles eigene Infra­struktur, um täuschend echte Mails von "no-reply@google.com" zu versenden. Was diesen Angriff so gefährlich macht: Die E-Mails bestehen alle Sicherheitschecks und enthalten Links zu gefälschten Webseiten auf Googles eigenen Domains.

Eleganter Angriff umgeht Gmail-Sicherheit

Sicherheitsexperten haben einen ausgeklügelten Phishing-Angriff aufgedeckt, der eine Schwachstelle im OAuth-System von Google ausnutzt. Angreifer können gefälschte E-Mails versenden, die scheinbar direkt von Google stammen und alle gängigen Sicherheitsprüfungen passieren.

Diese Nachrichten enthalten Links zu täuschend echten Webseiten, auf denen Anmeldedaten abgegriffen werden. Die Besonderheit dieses Angriffs liegt in der Nutzung von Googles Infrastruktur durch die Täter.

Funktionsweise des DKIM-Replay-Angriffs

Die gefälschten E-Mails erscheinen im Posteingang mit der Absenderadresse "no-reply@google.com" und bestehen erfolgreich die DKIM-Authentifizierung (DomainKeys Identified Mail), die normalerweise die Authentizität von E-Mails gewährleistet.

Laut Bleeping Computer wurde dieser Angriff von Nick Johnson, dem Hauptentwickler des Ethereum Name Service (ENS), aufgedeckt. Johnson erhielt eine vermeintliche Sicherheitsbenachrichtigung von Google, die über eine angebliche Vorladung informierte, die Strafverfolgungsbehörden Zugriff auf seine Google-Kontoinhalte forderte. Die Angreifer verwenden dafür einen mehrstufigen Prozess:


Dazu kommt: Eine gefälschte Support-Seite wird von den Angreifern auf sites.google.com, Googles eigener Webhosting-Plattform, gehostet. Dadurch wird die Wahrscheinlichkeit verringert, dass Empfänger den Betrug erkennen.

Angreifermethoden betreffen nicht nur Google

Diese Taktik ist nicht auf Google beschränkt. Im März wurde eine ähnliche Kampagne entdeckt, die PayPal-Nutzer ins Visier nahm. Hier stammten die betrügerischen Nachrichten ebenfalls von den offiziellen Mail-Servern des Unternehmens und durchliefen die DKIM-Sicherheitsüberprüfungen. Nach dem Bericht von Nick Johnson hat Google eine Reaktion gezeigt. Zunächst wurde behauptet, der Prozess funktioniere wie vorgesehen, nun erkennt das Unternehmen jedoch die Gefahren für seine Nutzer an und arbeitet an einer Lösung für die OAuth-Schwachstelle.

Bis eine vollständige Lösung vorhanden ist, raten Sicherheitsexperten dazu, wachsam zu sein. Nutzer sollten OAuth-Anfragen kritisch prüfen und ihre Google-Konten regelmäßig auf unbekannte Zugriffsanfragen kontrollieren.

Was haltet ihr von dieser ausgeklügelten Angriffsmethode? Habt ihr schon ähnliche Phishing-Versuche erlebt oder seid ihr besonders vorsichtig bei E-Mails, die nach euren Zugangsdaten fragen? Teilt eure Erfahrungen in den Kommentaren!


Siehe auch: