Geschicktes Phishing nimmt Top-Manager von Konzernen ins Visier

Eine neu entdeckte Phishing-Kampagne versucht aktuell besonders lohnenswerte Ziele zu übertölpeln: Mit der bisher unbekannten Phishing-as-a-Service-Plattform VENOM wird versucht, an die Zugangsdaten von Top-Managern großer Unternehmen zu gelangen.

Ausgeklügelter Zugangs-Diebstahl

Nach Erkenntnissen des Sicherheitsunternehmens Abnormal Security ist die Kampagne bereits seit mindestens November aktiv. Auffällig ist, dass der VENOM-Dienst offenbar nur einem geschlossenen Nutzerkreis zugänglich ist und nicht in einschlägigen Foren beworben wird. Dadurch blieb er für Sicherheitsforscher bisher schwerer zu entdecken.

Die Angriffe beginnen jeweils mit täuschend echt wirkenden Phishing-E-Mails, die als interne Dokumentenfreigaben über Microsoft SharePoint getarnt sind. Die Nachrichten sind stark personalisiert und enthalten künstlich erzeugte HTML-Elemente sowie fingierte E-Mail-Verläufe, um ihre Glaubwürdigkeit zu erhöhen.


Ein zentrales Element der Methode ist ein QR-Code. Dieser soll von den Opfern gescannt werden und dient dazu, klassische Sicherheitsmechanismen zu umgehen, da der Angriff auf mobile Geräte verlagert wird. Die E-Mail-Adresse des Ziels wird in der URL im QR-Code doppelt Base64-codiert, wodurch sie in Serverprotokollen nicht auftaucht.

Nach dem Scannen gelangen Opfer zunächst auf eine vorgeschaltete Webseite, die als Filter dient. Diese erkennt Sicherheitsanalysen oder automatisierte Tests und leitet in solchen Fällen auf legitime Seiten weiter, um keinen Verdacht zu erregen. Nur tatsächliche Zielpersonen werden auf die eigentliche Phishing-Seite weitergeführt.

Zwei-Wege-Authentifizierung reicht nicht

Dort kommt eine Adversary-in-the-Middle-Technik zum Einsatz: Die Seite imitiert den Login-Prozess Microsofts in Echtzeit, fängt Zugangsdaten sowie Mehrfaktor-Authentifizierungscodes ab und sichert sich Sitzungstokens. Alternativ nutzen Angreifer auch das sogenannte Device-Code-Phishing, bei dem Nutzer unwissentlich einem fremden Gerät Zugriff gewähren.

Beide Methoden ermöglichen es den Tätern, dauerhaft Zugriff auf die Konten zu erlangen. Sicherheitsexperten warnen daher, dass herkömmliche Mehrfaktor-Authentifizierung allein nicht mehr ausreicht. Stattdessen empfehlen sie den Einsatz moderner Authentifizierungsverfahren wie FIDO2 sowie strengere Zugriffskontrollen und das Deaktivieren unnötiger Anmeldeverfahren.


Siehe auch: