In der Zusammenfassung dieser Woche untersucht CTI, wie Angreifer Google Accelerated Mobile Pages (AMP) missbrauchen, um E-Mail-Sicherheitsmaßnahmen zu umgehen und Zugriff auf die Anmeldedaten von Mitarbeitern zu erlangen. Als Nächstes werfen wir einen Blick darauf, wie Angreifer eine Sicherheitslücke in den E-Mail-Diensten und SMTP-Servern von Salesforce ausnutzen, um eine ausgeklügelte Phishing-Kampagne zu starten, die auf Facebook-Konten abzielt. Abschließend befasst sich CTI mit einem Bericht, der den russischen Akteur BlueCharlie mit fast 100 neuen Domains in Verbindung bringt.
1. Angreifer missbrauchen Google AMP für schwer zu erkennende Phishing-Angriffe
Laut Cofense nutzen immer mehr Phishing-Kampagnen AMP, um E-Mail-Sicherheitsmaßnahmen zu umgehen. Bei diesen Kampagnen werden Google-AMP-URLs in Phishing-E-Mails eingebettet, wobei der gute Ruf der Google-Domain ausgenutzt wird.
Google AMP: Ein Überblick
Google AMP ist ein Open-Source-HTML-Framework zur Erstellung von Websites, die für die Nutzung auf Mobilgeräten optimiert sind. Die Webseiten sind in der Google-Suche sichtbar und können zudem den Google AMP-Cache sowie Google Analytics nutzen, um Nutzerinteraktionen zu erfassen. Über Google AMP erstellte Webseiten werden zunächst unter einer Google-AMP-URL wie google.com/amp/s/orgoogle.co.uk/amp/s/ gehostet.
Angreifer hosten mittlerweile schädliche Webseiten, deren URL-Pfad dem Google-AMP-Format entspricht, und verweisen in ihren Phishing-E-Mails darauf, um die Anmeldedaten von Mitarbeitern zu stehlen. Da die URLs auf legitimen Google-Domains gehostet werden, kann es für E-Mail-Sicherheitstools schwierig sein, den böswilligen Charakter dieser E-Mails zu erkennen.
Dieser Trend, bei dem Kampagnen Google AMP missbrauchen, scheint im Mai an Fahrt gewonnen zu haben und ist seitdem in der Bedrohungslandschaft präsent geblieben. Cofense stellte eine Änderung der Vorgehensweise auf 15. Juni fest, als in den Google-AMP-URLs „google.co.uk“ verwendet wurde. Das Grundkonzept ist dasselbe, allerdings wird die URL stattdessen unter der TLD von Google UK gehostet. Von den von Cofense untersuchten Google-AMP-URLs wurden 77 % auf google.com gehostet, während der Rest auf der britischen TLD von Google gehostet wurde.
Angreifer setzen eine Kombination aus TTPs ein
Angreifer setzen diese neue Google-AMP-Taktik zusammen mit bewährten Methoden ein, die zur Wirksamkeit einer Phishing-E-Mail beitragen.
Die folgenden TTPs wurden in einer Reihe von Phishing-E-Mails festgestellt, in denen Google-AMP-URLs als eingebettete Links verwendet werden:
- Vertrauenswürdige Domains: Die AMP-Strategie ist wirksam, da die URL auf einer vertrauenswürdigen Domain wie Google gehostet wird. Dies erschwert die automatisierte Analyse und macht es schwierig, diese Websites zu sperren.
- Bildbasierte Phishing-E-Mails: Viele der von Cofense im Rahmen dieser Kampagne beobachteten E-Mails sind bildbasiert, was bedeutet, dass sie keinen herkömmlichen E-Mail-Text enthalten, sondern stattdessen ein HTML-Bild. Diese lassen sich unter Umständen schwerer erkennen als textbasierte E-Mails, da das Bild den Header zusätzlich verunreinigen kann.
- URL-Weiterleitung: Die URL-Weiterleitung ist eine sehr beliebte Taktik, um die E-Mail-Analyse zu stören, insbesondere wenn innerhalb einer einzigen Phishing-Angriffskette mehrere Weiterleitungen stattfinden. In einem von Cofense beobachteten Fall wurde die Weiterleitung auf Microsoft.com gehostet, während gleichzeitig eine Weiterleitung zur Google-AMP-Domain erfolgte. Dies verlieh der Sache eine weitere Ebene falscher Legitimität.
- Cloudflare-CAPTCHA: Der Missbrauch von CAPTCHA hat sich zudem zu einer sehr verbreiteten Taktik zur Abwehr von Analysen entwickelt und war im Rahmen der Google-AMP-Phishing-Kampagne zu beobachten. Der legitime Domain-Sicherheitsdienst erfordert eine manuelle Interaktion, bevor die endgültige bösartige URL erreicht wird.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Verwendung von Google-AMP-URLs in Phishing-Kampagnen stellt zweifellos eine Weiterentwicklung dar und belegt einmal mehr, dass Angreifer stets nach Möglichkeiten suchen, ihre Vorgehensweise zu verfeinern.“
„Google-AMP-URLs weisen einen gemeinsamen Pfad auf, und dessen Sperrung würde auch alle legitimen Fälle von Google-AMP-URLs einschränken – was den Schutz vor Phishing-E-Mails erschweren würde.“ „Das Markieren oder Warnen vor diesen Domains mag zwar hilfreich sein, doch letztendlich kommt es darauf an, die Nutzer über die neuesten Phishing-Bedrohungen aufzuklären.“
2. Hacker nutzen die E-Mail-Dienste von Salesforce für eine gezielte Phishing-Kampagne auf Facebook aus
Hacker nutzen derzeit eine Sicherheitslücke vom Typ „ “ in den E-Mail-Diensten von Salesforce – (wird in einem neuen Tab geöffnet),, – sowie in den SMTP-Servern aus, um eine ausgeklügelte Phishing-Kampagne zu starten, die auf Facebook-Konten abzielt.
Die E-Mails scheinen von Meta zu stammen, werden jedoch über eine E-Mail-Domain von Salesforce versendet. Die Forscher haben seitdem gemeinsam mit Salesforce daran gearbeitet, die Sicherheitslücke zu beheben.
Details zur Kampagne
Guardio Labs hat eine ausgeklügelte Facebook-Phishing-Masche analysiert, die sich eine Sicherheitslücke in Salesforce zunutze macht. Die sorgfältig gestaltete Phishing-E-Mail enthält den Namen des Empfängers und gibt vor, von Meta Platforms zu stammen. Außerdem enthält sie eine große Schaltfläche mit der Aufschrift „Bewertung anfordern“, die den Empfänger auf die Phishing-Seite weiterleitet, mit dem Ziel, an die Facebook-Kontodaten des Nutzers zu gelangen.
Die Phishing-Seite wird als Spiel auf der Facebook-Apps-Plattform unter Verwendung der Domain apps[.]facebook[.]com gehostet. Dadurch entsteht der Eindruck, dass die Support-Seite Teil Ihres Facebook-Kontos ist.
Nutzung des E-Mail-Gateways von Salesforce
Das E-Mail-Gateway von Salesforce ist darauf ausgelegt, große Mengen an E-Mails an Kunden auf der ganzen Welt zu versenden. Bevor eine E-Mail versendet wird, überprüft das System die Inhaberschaft des Domainnamens, über den die Nachricht versendet werden soll. Diese Domain wird neben dem Feld „Von“ angezeigt und bestätigt, dass Salesforce die Berechtigung besitzt, E-Mails unter diesem Markennamen zu versenden.
Eine E-Mail-Adresse muss verifiziert werden, damit E-Mails versendet werden können. Durch Anklicken des Bestätigungslinks, der an das gewünschte E-Mail-Postfach gesendet wurde, erteilen Sie Salesforce die Berechtigung, die ausgehenden E-Mails zu konfigurieren. Nach der Überprüfung einer Adresse kann der Benutzer diese in den Eingabeaufforderungen für ausgehende E-Mails auswählen.
Bei der eingehenden Untersuchung der E-Mail-Header stellte Guardio fest, dass die Domain im Feld „Von“ eine Subdomain enthält, die für jedes einzelne Salesforce-Konto mithilfe des Schlüsselworts „case“ generiert wird. Die Adresse wird im Rahmen der „Email-To-Case“-Funktion von Salesforce vom Benutzer gesteuert, die eingehende E-Mails von Kunden automatisch in bearbeitbare Tickets in Salesforce umwandelt.
Nutzung von Salesforce zur Stärkung der Markenidentität
Bei der eingehenderen Untersuchung des Validierungsprozesses stellten die Forscher fest, dass es möglich ist, E-Mails zu empfangen, die an bestimmte salesforce.com-Adressen gesendet werden, und über das Ticket-System von Salesforce auf deren Inhalt zuzugreifen.
Um dies nachzubilden, erstellte Guardio zunächst einen „Email-To-Case“-Ablauf, der dem Unternehmen die volle Kontrolle über den Benutzernamen-Teil der Salesforce-E-Mail-Adresse ermöglichte. Sie wählten „Salesforce“ als Benutzernamen, wodurch ihnen die folgende E-Mail-Adresse für missbräuchliche Zwecke zur Verfügung stand: salesforce@{account_id_hash}.case.salesforce[.]com.
Sie verfügten nun über eine E-Mail-Adresse, die einer ähnelte, die sie bereits in der Praxis bei Phishing-Kampagnen gesehen hatten. Anschließend haben sie diese E-Mail-Adresse als „unternehmensweite E-Mail-Adresse“ verifiziert, damit das Salesforce Mass Mailer Gateway diese Adresse im offiziellen ausgehenden E-Mail-Workflow verwendet.
Nach der Verifizierung der E-Mail richteten sie mithilfe der neu generierten Salesforce-Adresse eine neue organisationsweite E-Mail-Adresse ein. Dies löste den Verifizierungsablauf aus, der die E-Mail an die Weiterleitungsadresse versandte, woraufhin daraus eine neue Aufgabe im System entstand. Von hier aus können die Angreifer verschiedene Arten von Phishing-Angriffen starten, die scheinbar von einem E-Mail-Absender von salesforce.com stammen. Diese Nachrichten landen mit größerer Wahrscheinlichkeit im Posteingang der betroffenen Opfer, da sie von Salesforce stammen.
Missbrauch der Facebook-Apps-Domain
Auch Guardio hat den Missbrauch der Facebook-Apps-Domain beobachtet. Seit dem Juli 2020 ist es im Facebook-Ökosystem nicht mehr möglich, ältere Spiel-Canvases mit App-IDs zu erstellen. Diese Kampagne schien jedoch nach wie vor über diese Kraft zu verfügen.
Laut Meta ist es nach wie vor möglich, die Unterstützung für ältere Spiele aufrechtzuerhalten, die vor dieser Auslaufphase entwickelt wurden, was sie für Angreifer attraktiv macht. Guardio hat sich an Meta gewandt, und Meta führt derzeit eine Ursachenanalyse durch, um zu ermitteln, warum die vorhandenen Erkennungs- und Abwehrmaßnahmen nicht funktioniert haben.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Kampagne enthält legitime Links zu Facebook und wird über Salesforce-E-Mail-Adressen versendet; daher ist es nicht verwunderlich, dass Forscher feststellen, dass sie an einigen herkömmlichen Anti-Phishing-Lösungen vorbeikommt.“
Guardio fasst die Bedenken recht treffend zusammen:
Ein besorgniserregender Aspekt dieses anhaltenden Kampfes ist die Ausnutzung scheinbar legitimer Dienste wie CRM-Systeme, Marketingplattformen und cloudbasierter Arbeitsumgebungen zur Durchführung böswilliger Aktivitäten. Dies stellt eine erhebliche Sicherheitslücke dar, da herkömmliche Methoden oft nicht mit den sich ständig weiterentwickelnden und ausgefeilten Techniken der Angreifer Schritt halten können.
3. Der russische Akteur „BlueCharlie“ nimmt als Reaktion auf die Enthüllungen Änderungen an der Infrastruktur vor
Recorded Future hat den mit Russland in Verbindung stehenden Bedrohungsakteur BlueCharlie (wird in einem neuen Tab geöffnet) in den letzten Monaten mit fast 100 neuen Domains in Verbindung gebracht.
Der Konzern passt seine Infrastruktur derzeit aktiv an, um auf die öffentlichen Bekanntmachungen (wird in einem neuen Tab geöffnet) bezüglich seiner Aktivitäten zu reagieren. Viele der bei den jüngsten Operationen beobachteten Taktiken weichen von den bisherigen Aktivitäten der Gruppe ab, was auf eine Weiterentwicklung hindeutet.
Was ist BlueCharlie?
BlueCharlie ist ein mit Russland in Verbindung stehender Akteur, der unter verschiedenen Namen auftritt, darunter Callisto, Star Blizzard, COLDRIVER, TAG-53 und früher Seaborgium. Sie führt Kampagnen zur Informationsbeschaffung durch, um weitere Spionageaktivitäten durchzuführen und „Hack-and-Leak“-Operationen durchzuführen.
BlueCharlie führt anhaltende Phishing- und Passwortdiebstahl-Kampagnen durch und nutzt in der Regel Open-Source-Quellen, um vor dem Eindringen in ein System Erkundungsmaßnahmen durchzuführen. In einem Fall erstellte der Angreifer gefälschte Profile auf verschiedenen Social-Media-Plattformen, um Erkundungsmaßnahmen gegen bestimmte Zielorganisationen durchzuführen.
Die Gruppe scheint ihre Vorgehensweisen geändert zu haben, nachdem durch öffentliche Berichte ihre Infrastruktur zum Sammeln von Anmeldedaten aufgedeckt worden war.
Struktur von Domainnamen
BlueCharlie hat kürzlich die Verwendung bestimmter Wörter in seinen Domains auf ein neues Muster umgestellt. Frühere Domains bestanden aus zwei Begriffen, die durch einen Bindestrich getrennt waren. Ein Beispiel hierfür ist cloud-safety[.]online. Diese frühere Aktivität stützte sich auf eine URL-Struktur mit Anhängseln für Phishing-Angriffe, die Recorded Future bei den jüngsten Aktivitäten bislang noch nicht beobachtet hat.
Die neue Namenskonvention ist einheitlich und ähnelt sich über alle 94 von Recorded Future identifizierten Domains hinweg. Die neuen Domains beziehen sich auf Themen rund um Informationstechnologie und Kryptowährungen und tragen Namen wie cloudrootstorage[.]com, directexpressgateway[.]com, storagecryptogate[.]com oder pdfsecxcloudroute[.]com.
Die Registrare von BlueCharlie
Auch die von BlueCharlie genutzten Registrare haben sich geändert. Zuvor entfielen über 50 % der von BlueCharlie genutzten Domain-Registrare auf PorkBun. Angesichts der aktuellen Entwicklungen bevorzugt die Gruppe mit überwältigender Mehrheit den Registrar NameCheap.
Autonome Systeme
Recorded Future hat die ASNs ermittelt, in denen die BlueCharlie-IP-Adressen sowohl bei früheren als auch bei aktuellen Aktivitäten am häufigsten vorkamen. Aus früheren Branchenberichten geht hervor, dass Stark Industries, MIRhosting und PQ Hosting miteinander in Verbindung stehen und häufig zum Hosten bösartiger Inhalte oder als Teil von Angriffsinfrastrukturen genutzt werden.
X.509 -TLS-Zertifikate
Zuvor hatte sich herausgestellt, dass die identifizierten BlueCharlie-Domains entsprechende X.509 -TLS-Zertifikate von Let’s Encrypt hosteten. Auch bei ihren jüngsten Aktivitäten stützt sich die Gruppe weiterhin fast ausschließlich auf Let’s Encrypt-Zertifikate. Eine Ausnahme von dieser Regel bildete die Domain bittechllc[.]net, die die Zertifizierungsstelle ZeroSSL nutzte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Als die Infrastruktur von BlueCharlie das letzte Mal öffentlich aufgedeckt wurde, sind sie auf neue TTPs und eine neue Infrastruktur umgestiegen.“ Vor diesem Hintergrund ist es plausibel, dass die öffentlichen Berichte von Recorded Future dazu führen werden, dass das Unternehmen auch dieses Mal auf dieselbe Weise reagieren wird. „Die Gruppe bleibt ihren Wurzeln im Bereich Phishing treu und macht uns damit einmal mehr deutlich, wie wichtig Schulungen und Sensibilisierung sind.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Diskussionsforum von Tanium, um eine Unterhaltung zu beginnen.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
