Phishing-Kits: Sättigung der Bedrohungslandschaft

Ein oft übersehener Aspekt der Cybersicherheit ist, dass der Mensch das schwächste Glied in der Kette ist. Untersuchungen zeigen, dass 90 % der Angriffe auf Unternehmen per E-Mail erfolgen und dass 90 % dieser Angriffe in irgendeiner Form auf menschliches Versagen zurückzuführen sind.[1] Besonders problematisch sind Phishing-Angriffe, die auf Social-Engineering-Techniken beruhen. Laut The Mimecast Threat Intelligence Report, Black Hat USA Edition, stieg das Volumen der Imitationsangriffe zwischen Januar und März 2020 um 38 % auf fast 46 Millionen.

Diese Phishing-Betrügereien werden in der Regel über Phishing-Kits verbreitet. Diese Tool-Sets ermöglichen es Cyberkriminellen, die über nahezu keine Programmierkenntnisse verfügen, Komponenten zu erstellen, die legitime E-Mails und Websites imitieren. Die gefälschten E-Mails oder Textnachrichten scheinen von einer legitimen Quelle zu stammen, und ein Empfänger, der auf einen Link klickt, wird dazu verleitet, Informationen preiszugeben, zu denen auch Anmeldeinformationen und persönliche Daten gehören können. Diese Nachrichten können den Anschein erwecken, von einem anderen Unternehmen, einer Dienstleistung, einem Geschäftspartner oder einer Quelle in der Lieferkette des Unternehmens zu stammen.[2]

Was Phishing-Kits so problematisch macht, ist die Tatsache, dass sie Website-Entwicklungssoftware enthalten, die eine grafische Benutzeroberfläche (GUI) mit wenig oder gar keinem Code für die Erstellung von E-Mail-Vorlagen, Grafiken, Text und Webseiten bietet. In einigen Fällen bieten die Entwickler der Crimeware auch Listen von Benutzern - zusammen mit deren Telefonnummern und E-Mail-Adressen - gegen eine zusätzliche Gebühr an. Manche bezeichnen diese Softwarepakete als Phishing-as-a-Service-Kits (PaaS-Kits).[3] Die Zahl der verfügbaren Phishing-Kits geht derzeit in die Tausende.[4]

Wie Phishing-Kits funktionieren

Ziel eines jeden Phishing-Angriffs ist es, die Empfänger dazu zu bringen, sensible und persönliche Daten preiszugeben. Dazu gehören Spear-Phishing , das auf bestimmte Organisationen oder Personen abzielt; Whaling, bei dem hochrangige Wirtschaftsführer angegriffen werden, und Vishing, bei dem per Telefon oder Voicemail Anmeldeinformationen gestohlen und Personen dazu verleitet werden, sensible Daten oder Gelder zu übermitteln.

Für Kriminelle besteht die Herausforderung darin, Nachrichten und Websites zu erstellen, die authentisch und überzeugend wirken. Phishing-Kits vereinfachen diese Aufgabe durch die Automatisierung von Prozessen und die Personalisierung von Nachrichten im großen Stil. Der Ersteller des Kits klont in der Regel authentische Websites und nimmt die notwendigen Änderungen vor, um einen Phishing-Angriff zu starten, indem er beispielsweise den echten Benutzernamen und die Anmeldefelder durch ein Skript ersetzt, das die Anmeldedaten stiehlt. Der Benutzer des Kits hat nun alles, was er braucht, um einen ahnungslosen Mitarbeiter dazu zu bringen, die Website des Cyberbetrügers zu besuchen.[5]

Phishing-Kits sind im Dark Web oder in Untergrund-Hacking-Foren für nur 50 US-Dollar pro Monat[6] oder etwa 300 US-Dollar pro Kit erhältlich.[7]Es gibt auch Anleitungsvideos auf YouTube, die erklären, wie man ein Kit benutzt.[8]

Warum Sie besorgt sein sollten

Cyberkriminelle stellen diese Phishing-Seiten häufig auf einen legitimen öffentlichen Cloud-Dienst wie AWS oder Azure. Dann verschicken sie ihre gezielten Nachrichten und warten darauf, dass die Empfänger ihre Website besuchen und ihre Anmeldedaten weitergeben. Die Phisher erhalten eine Warnung, wenn sie einen Biss haben. Nach 24 bis 48 Stunden wird die Website in der Regel gelöscht, bevor eine neue aufgeschaltet wird.

Da die Cloud-Dienste, bei denen diese Phishing-Kits gehostet werden, über authentische SSL-Zertifikate verfügen und die Websites oft den Anschein erwecken, als handele es sich um echte Domänen, können Benutzer - selbst solche, die relativ erfahren und sachkundig sind - häufig dazu verleitet werden, ihre Anmeldedaten einzugeben und sensible Daten zu teilen. Die Diebe verwenden diese Daten dann, um geistiges Eigentum zu stehlen oder ausgefeiltere und zerstörerische Angriffe auf das Unternehmen des Opfers zu starten, einschließlich ransomware Angriffe.

Forscher schätzen, dass ein hochentwickeltes Phishing-Kit, das auf große Unternehmen und hochrangige Mitarbeiter abzielt, seit Mitte 2019 mehr als 150 Opfer erfolgreich angegriffen hat. [9] Laut ihrem Bericht war die am häufigsten angegriffene Branche der Finanzdienstleistungssektor, aber auch Führungskräfte von Immobilien-, Rechts-, Beratungs-, Fertigungs- und Energieunternehmen waren unter den Opfern. Eine harmlose PDF-Datei, die scheinbar von einer vertrauenswürdigen Quelle über Microsoft Office 365 geteilt wird, enthält einen Link, der den Empfänger auf die Phishing-Website führt.

Neutralisierung der Bedrohung

Phishing-Kits senken die Hürde für Cybergangs und Online-Kriminelle, ausgeklügelte Phishing-Kampagnen durchzuführen, drastisch. In den meisten Fällen muss der Täter lediglich ein Ziel auswählen, eine URL eingeben und auf eine Schaltfläche tippen, um einen Angriff zu starten. Die Angreifer können auch Verschlüsselung und andere Tools verwenden, die ihre Identifizierung erschweren.

Diese Kits werden auch immer raffinierter und sind in der Lage, sich der Erkennung durch herkömmliche Tools zu entziehen. Einige Kits sind in der Lage, Verbindungen von bestimmten IP-Adressen und Hosts, die mit Sicherheitsanbietern assoziiert sind, zu blockieren, Felder in Browsern zu verstecken, die Sicherheitswarnungen auslösen könnten, Dokumentenspoofing-Methoden zu verwenden, die sich Sicherheitsscannern entziehen, und sich fortgeschrittene Methoden zur Einfügung von Inhalten zunutze zu machen, die Elemente oder Links von legitimen Websites enthalten.[10]

Trotzdem gibt es Möglichkeiten für Ihr Unternehmen, die Bedrohung durch Phishing-Kits zu neutralisieren. Ein Schlüssel dazu ist, sich auf die roten Fahnen zu konzentrieren, die sie erzeugen. Laut Phishing.org sind dies unter anderem: [11]

• E-Mail-Adressen eines Absenders, die von außerhalb der normalen Kommunikationskanäle Ihres Unternehmens stammen.
• Ungewöhnliche Domains, einschließlich Nachrichten, die von einem Sicherheits- oder Supportdienst zu stammen scheinen.
• Benutzer, die auf Nachrichten kopiert haben, die eine unbekannte Gruppe oder unbekannte Namen enthalten.
• Nachrichten, die zu ungewöhnlichen Zeiten eingehen.
• Ungewöhnliche E-Mail-Betreffzeilen.
• Unerwartete oder seltsame Anhänge in einer E-Mail.
• Inhalte, die ungewöhnliche oder minderwertige Bilder oder schlechte Grammatik enthalten.

Weitere wichtige Sicherheitsmaßnahmen sind die Einführung einer aggressiven Spam-Kontrolle, die Verschärfung der Browser-Einstellungen und der Einsatz spezieller Software zur Erkennung gefälschter Domänen und zum Blockieren gefährlicher Websites. Auch die Integration von Zwei-Faktor-Authentifizierung und Sprachverifizierung in Arbeitsabläufe ist ein kluger Schachzug.[12]

Nicht zuletzt ist es wichtig, die Mitarbeiter kontinuierlich zu schulen, damit sie besser darauf vorbereitet sind, einen Phishing-, Spear-Phishing-, Whaling- oder Vishing-Angriff zu erkennen.

Die Quintessenz

Phishing-Kits gibt es schon seit Jahren in der einen oder anderen Form, aber in den letzten Jahren sind sie weitaus verbreiteter und gefährlicher geworden. Um ein Unternehmen zu schützen, ist es wichtig, die Bedrohung zu erkennen, die von ihnen ausgeht, und Maßnahmen zu ihrer Neutralisierung zu ergreifen, und zu verstehen, wie sie funktionieren, ist ein guter Anfang. Mit den richtigen Sicherheitsvorkehrungen und einer kontinuierlichen Sensibilisierung der Mitarbeiter lässt sich das Risiko, Opfer einer Phishing-E-Mail zu werden, erheblich verringern.

[1] "100 Days of Coronavirus (COVID-19)," Mimecast

[2] Was sind Phishing-Kits? Webkomponenten von Phishing-Angriffen erklärt," CSO.

[3] "Phishing Kit," WhatIs.com

[4] "Researchers Analyze 3,200 Unique Phishing Kits," HelpNetSecurity.

[5] "How Do Attackers Build and Use Phishing Kits?," TechTarget.

[6] "Phishing-as-a-Service-Bedrohungen, die Cloud-Dienste missbrauchen," TechTarget.

[7] "Phishing-Kits: Die neuen Verkaufsschlager auf dem Untergrundmarkt," HelpNetSecurity.

[8] "Wie man ein Phishing-Kit erstellt Teil 1," YouTube.

[9] "Sophisticated Phishing Kit Used by Multiple Groups to Target Executives," SecurityWeek.

[10] Ebd.

[11] "Social Engineering Red Flags," Phishing.org.

[12] "Was sind Phishing-Kits? Webkomponenten von Phishing-Angriffen erklärt," CSO.