Phisher greifen Microsoft-365-Kunden mit rund tausend Domains an

Sicherheitsforscher warnen vor einer besonders effizienten Phishing-Plattform, die Anmeldedaten von Microsoft-365-Nutzern abgreift. Das System mit dem Namen "Quantum Route Redirect" (QRR) soll derzeit etwa 1000 Domains verwenden, um Opfer anzulocken.

Dienst zur Miete

Entwickelt wurde das Toolkit offenbar für weniger erfahrene Cyberkriminelle, die damit ohne großen Aufwand umfangreiche Angriffe durchführen können. Nach Angaben des Sicherheitsunternehmens KnowBe4 wird QRR seit August vermehrt im Einsatz beobachtet. Die Angriffe treten weltweit auf, jedoch liegen rund drei Viertel der Fälle in den Vereinigten Staaten. Die Plattform automatisiert nahezu alle Schritte eines klassischen Phishing-Angriffs: vom Umleiten des Datenverkehrs über präparierte Webseiten bis hin zur Auswertung der erbeuteten Zugangsdaten.

Typischerweise beginnt der Angriff mit einer täuschend echt gestalteten E-Mail. Als Vorwand dienen gängige Geschäftskommunikationen, etwa angebliche DocuSign-Dokumente, Zahlungsbenachrichtigungen, verpasste Voicemail-Nachrichten oder QR-Codes zur Dokumentansicht.


Die Opfer werden so auf eine gefälschte Anmeldeseite gelockt, deren URL einem erkennbaren Muster folgt. Häufig greifen die Täter dabei auf bereits bestehende, aber kompromittierte Domains zurück. Dies soll das Vertrauen der Betroffenen erhöhen, da die Adresse auf den ersten Blick legitim wirkt.

Filter trickst Bots aus

Besonders ausgeklügelt ist ein Filtermechanismus, der erkennt, ob der aufrufende Nutzer ein Mensch oder ein automatisiertes Sicherheitssystem ist. Während echte Nutzer zu den Phishing-Seiten weitergeleitet werden, landen Analyse-Bots oder E-Mail-Scanner auf harmlosen Inhalten. Dadurch sinkt die Wahrscheinlichkeit, dass die Angriffe frühzeitig entdeckt werden. Die Täter erhalten zudem über ein Dashboard Echtzeit-Statistiken darüber, wie viele reale Nutzer die Seite erreicht haben.

KnowBe4 geht davon aus, dass der Einsatz von QRR weiter zunehmen wird, da die verwendeten Techniken viele gängige URL-Filter austricksen. Vergleichbare Dienste wie VoidProxy, Darcula oder Tycoon2FA waren bereits in diesem Jahr aufgefallen. Um sich zu schützen, raten Experten zu einer Kombination aus verstärkter URL-Prüfung, Awareness-Schulungen und Kontenüberwachung. Unternehmen sollten sicherstellen, dass verdächtige Zugriffe schnell erkannt und gestohlene Zugangsdaten umgehend gesperrt werden.


Siehe auch: