In der Zusammenfassung dieser Woche befasst sich CTI mit einer laufenden Phishing-Kampagne, bei der „Refresh“-Einträge in HTTP-Headern missbraucht werden. Als Nächstes liefert CTI aktuelle Informationen zur Gruppe „Scattered Spider“, die aktiv Social-Engineering-Angriffe vom Typ „ “ durchführt und es auf Cloud-Konten abgesehen hat. Schließlich ermittelt die CTI gegen „ UNC2970“, einen Täter, der sich als Personalvermittler ausgibt und unter dem Deckmantel von Stellenangeboten Opfer ins Visier nimmt.
Phishing-Kampagne nutzt HTTP-Header zum Diebstahl von Zugangsdaten aus
Forscher in Palo Alto warnen vor einer laufenden Phishing-Kampagne, bei der Aktualisierungs-Einträge in HTTP-Headern ausnutzt (öffnet in einem neuen Tab) , um gefälschte Anmeldeseiten für E-Mail-Konten anzuzeigen.
Die Kampagne unterscheidet sich von anderen Phishing-Kampagnen unter , die über HTML-Inhalte verbreitet werden, da sie den von einem Server gesendeten Antwort-Header nutzt, der bereits vor der Verarbeitung des HTML-Inhalts übermittelt wird. Zwischen Mai und Juli identifizierten die Forscher täglich etwa 2 000 schädliche URLs, die mit dieser Kampagne in Verbindung standen.
So funktioniert die Technik
Angreifer nutzen häufig leicht zugängliche Tools und Techniken, um Phishing-Kampagnen durchzuführen. Die Täter nutzen mittlerweile eine Header-Refresh-Technik, um Phishing-Links einzubetten und überzeugende Köder zu erstellen. Die bösartigen Links zielen auf jeden einzelnen Nutzer ab, indem sie dessen E-Mail-Adresse in das „Refresh“-Feld des HTTP-Antwortheaders einbetten. Dadurch wird der Browser dazu veranlasst, eine Webseite automatisch und ohne jegliche Benutzerinteraktion zu aktualisieren oder neu zu laden.
Durch die Kombination dieser Technik mit gefälschten Domains, die legitime Domains nachahmen, ist es für Angreifer wahrscheinlicher, Opfer dazu zu verleiten, ihre Zugangsdaten preiszugeben.
Beispiele für Phishing-Angriffe mit „Header Refresh“
Die bei dem Angriff verwendeten bösartigen Links versuchen, die Opfer dazu zu verleiten, ihre Zugangsdaten auf einer Website einzugeben, die der legitimen Anmeldeseite sehr ähnlich sieht. Auf diesen Seiten wird in der Regel die E-Mail-Adresse der Organisation auf der Website angezeigt, indem die E-Mail-Adresse des Opfers automatisch als Benutzername eingetragen und die Eingabe eines Passworts verlangt wird.
Im Juni beobachtete „ “ in Palo Alto groß angelegte Kampagnen unter (wird in einem neuen Tab geöffnet),und . Eine Kampagne stach besonders hervor, da dabei E-Mails verwendet wurden, die von derselben IP-Adresse und derselben gefälschten Absenderadresse stammten. Der häufigste Betreff der E-Mails im Rahmen dieser Kampagne lautete: „Mit DocuSign abschließen: ACH/EFT-Formular ***.“ Die bösartigen Links wurden über „Header-Refresh“-URLs übermittelt, die die E-Mail-Adressen der Empfänger enthielten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Technik der Header-Aktualisierung ist ein hervorragendes Beispiel dafür, wie Angreifer neue Techniken anwenden, und zeigt, wie schnell sie ihre Angriffe ausweiten können. Dem Urheber dieser Kampagne gelang es, innerhalb weniger Monate mehrere groß angelegte Angriffe durchzuführen, bei denen täglich 2 000 Domains betroffen waren.
Dies erfordert einen erheblichen Aufwand an Überwachung und deutet darauf hin, dass der Akteur über die notwendigen Ressourcen verfügte, um eine solche Kampagne aufrechtzuerhalten. Diese Kampagnen verdeutlichen, wie HTTP-Refresh-Header missbräuchlich genutzt werden können, und bieten Sicherheitsverantwortlichen eine weitere Technik, auf die sie achten sollten.
„Scattered Spider“ hat es auf Cloud-Konten abgesehen
Forscher von EclecticIQ haben Ransomware-Angriffe untersucht, insbesondere solche, die auf Cloud-Infrastrukturen abzielen. Kürzlich wurde festgestellt, dass ein Großteil der Infrastruktur und der TTPs, die bei diesen Angriffen beobachtet wurden, mit der Gruppe „Scattered Spider“ übereinstimmt, die auch hinter dem vielbeachteten MGM-Angriff und anderen ausgeklügelten Social-Engineering-Angriffen steht.
Seit dem MGM-Angriff hat „Scattered Spider“ verschiedene weitere Social-Engineering-Angriffe durchgeführt. Sie nutzen sowohl Vishing (Voice-Phishing) als auch Smishing (SMS-Phishing), um ihre Opfer zu täuschen, und es wurde beobachtet, dass sie es insbesondere auf IT-Service-Desk-Mitarbeiter und Identitätsadministratoren abgesehen haben. Dieser Akteur ist in erster Linie darauf aus, Vertrauen zu gewinnen und dieses zu missbrauchen.
Von Benutzerkonten bis hin zur Cloud-Infrastruktur
Die neuesten Untersuchungen von EclecticIQ zeigen, dass „Scattered Spider“ Netzwerke häufig mithilfe von Social Engineering gegen Cloud-Konten kompromittiert.
Eine Möglichkeit, wie sich die Gruppe unbefugten Zugriff auf Cloud-Umgebungen verschafft, ist die versehentliche Offenlegung von Zugangsdaten. Der Angreifer nutzt durchgesickerte Cloud-Authentifizierungstoken aus, die aufgrund fest im Code hinterlegter Anmeldedaten versehentlich auf Plattformen wie GitHub offengelegt wurden.
Der Akteur nutzt zudem Phishing-Kampagnen und Social Engineering, um Konten zu kompromittieren, und zielt dabei in der Regel auf Mitarbeiter des IT-Service-Desks sowie auf Cybersicherheitsteams ab. Die Angriffe richten sich vor allem gegen Cloud-Dienste wie Entra ID, AWS EC2 und SaaS-Anwendungen.
Anmeldedaten-Diebe und Anbieter von Erstzugriffen
EclecticIQ hat festgestellt, dass in Untergrundforen Authentifizierungstoken und Zugangsdaten für Cloud-Dienste verkauft werden, was eine weitere Möglichkeit darstellt, an Cloud-Zugangsdaten und -Zugriff zu gelangen.
„Scattered Spider“ nutzt zudem bekannte Malware zum Diebstahl von Anmeldedaten, darunter „Stealc“, „Raccoon Stealer“, „Vidar Stealer“ und „RedLine Stealer“.
SIM-Swapping und kritische SaaS-Anwendungen
Dieser Akteur nutzt häufig SIM-Swapping, um die Schutzmaßnahmen der Multi-Faktor-Authentifizierung (MFA) von zu umgehen und Zugriff auf kritische SaaS-Anwendungen zu erlangen.
Nachdem sich der Angreifer erfolgreich Zugang zu einem Benutzerkonto verschafft hat, nimmt er die Cloud-Infrastruktur ins Visier und erstellt in einigen Fällen virtuelle Maschinen, um bestehende Sicherheitsmaßnahmen zu umgehen.
Nutzung von Open-Source-Tools für die Cloud-Erkundung
Nachdem sich der Angreifer über SSO-fähige Dashboards für M365 Zugang zu einer Cloud-Infrastruktur verschafft hat, führt er umfangreiche Erkundungsmaßnahmen durch.
Der Akteur wird nach integrierten Anwendungen innerhalb der Cloud-Umgebung suchen und sich dabei auf CRM-Systeme, Dokumentenmanagement-Plattformen, Lösungen zur Passwortspeicherung, Code-Repositories und vieles mehr konzentrieren. „Scattered Spider“ wird zudem nach Informationen suchen, die zur Erpressung oder zur gezielten Angriff auf Dritte, die mit dem Opfer in Verbindung stehen, genutzt werden könnten.
Persistenz in Cloud-Infrastrukturen
Seit Beginn des Jahres 2024 wurde beobachtet, dass der Akteur die mandantenübergreifende Synchronisierung (CTS) innerhalb von Microsoft Entra ID missbraucht.
Der Akteur nutzt zudem föderierte Identitätsanbieter in Entra-ID- und Okta-Mandanten zur Datenpersistenz.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Untersuchung von EclecticIQ befasst sich mit der Geschäftstätigkeit des Konzerns im Zeitraum von 2023 bis zum zweiten Quartal von 2024. Ihre Erkenntnisse zeigen, dass „Scattered Spider“ vor allem dank ihrer ausgefeilten Social-Engineering-Methoden recht erfolgreich war. Die Untersuchungen von EclecticIQ zeigen zudem, dass diese Gruppe den Einsatz von Ransomware in Cloud-Umgebungen in den Vordergrund stellt.
Es ist erwähnenswert, dass in „ Juli 2024“ eine Person festgenommen wurde, die mit der Gruppe „Scattered Spider“ in Verbindung stand. Nur die Zeit wird zeigen, ob der Betrieb weiterhin erfolgreich verläuft.
UNC2970 beutet Arbeitssuchende in den USA aus
Mandiant verfolgt einen Akteur, der unter den Namen „ “ bekannt ist: UNC2970 (wird in einem neuen Tab geöffnet). Dieser Täter gibt sich als Personalvermittler aus und hat es unter dem Vorwand offener Stellen auf seine Opfer abgesehen.
In letzter Zeit hat der Schauspieler per E-Mail und WhatsApp Kontakt zu den Opfern aufgenommen und ein schädliches Archiv weitergegeben, das eine verschlüsselte PDF-Datei sowie eine mit einem Trojaner infizierte PDF-Anzeigeanwendung enthält. Die Datei kann nur mit der im Lieferumfang enthaltenen, mit einem Trojaner versehenen Version von SumatraPDF geöffnet werden und zielt darauf ab, eine Hintertür zu installieren.
Infektionskette UNC2970’s
Mandiant untersuchte einen Vorfall, bei dem ein Betroffener ein passwortgeschütztes ZIP-Archiv heruntergeladen und geöffnet hatte, das er über WhatsApp erhalten hatte. Das Archiv enthielt fünf Dateien: eine PDF-Datei mit der dem Opfer angezeigten Köderdatei und der MISTPEN-Backdoor, eine mit einem Trojaner infizierte DLL-Datei, zwei legitime DLL-Dateien sowie die ausführbare Datei der legitimen Open-Source-Anwendung „SumatraPDF Viewer“.
Mandiant geht davon aus, dass der Benutzer angewiesen wurde, die PDF-Datei zu öffnen, die das mit einem Trojaner infizierte PDF-Anzeigeprogramm enthielt. Es ist wichtig zu beachten, dass es sich hierbei nicht um eine Sicherheitslücke in SumatraPDF handelt, sondern um eine mit einem Trojaner infizierte Version. Die MISTPEN-Nutzlast wird schließlich in den Arbeitsspeicher geladen.
- BURNBOOK wird von der ausführbaren Datei „SumatraPDF.exe“ geladen. Es handelt sich um einen Launcher, der eine in einer Datei gespeicherte verschlüsselte Nutzlast ausführt und auf die Festplatte schreibt. Sie enthält schädlichen Code, der ausgelöst wird, sobald der Benutzer die als Köder dienende PDF-Datei öffnet.
- MISTPEN „ “ – Backdoor-Versuche, PE-Dateien herunterzuladen und auszuführen. Bei der Malware handelt es sich um eine modifizierte Version des Notepad++-Plugins „binhex“, v2,0,0,1. Es kommuniziert über HTTP mit verschiedenen Microsoft Graph-APIs. Es unterstützt zahlreiche Befehle, darunter das Parsen, das Laden in den Arbeitsspeicher, die Ausführung der empfangenen PE-Nutzlast, das Beenden von Prozessen, die Aktualisierung der Ruhezeit in der Konfiguration und vieles mehr.
- Der TEARPAGE- -Loader ist im Ressourcenbereich von BURNBOOK eingebettet. Es wird über eine Manipulation der DLL-Suchreihenfolge geladen und entschlüsselt einen verschlüsselten Blob. Die entschlüsselte Ausgabe ist die MISTPEN-Backdoor.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angreifer suchen ständig nach neuen Social-Engineering-Methoden, und die neueste scheint darin zu bestehen, sich als Personalvermittler auszugeben.
Manche Akteure versenden gefälschte Programmiertests an Arbeitssuchende, die Malware enthalten. Das Opfer gelangt gar nicht erst zur Testphase, sondern wird bereits durch das Öffnen einer Datei infiziert, die es für eine PDF-Datei mit der Stellenbeschreibung hält.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
