Twitter-Werbung führt zu einer Welle von Phishing

Phishing-Kampagnen sind zu einem unausweichlichen Teil des Online-Lebens geworden. Kaum ein Tag vergeht, an dem nicht eine neue Version oder Variante in den Posteingängen landet. Es sollte daher nicht überraschen, dass opportunistische Cyberkriminelle sofort nach der Ankündigung des neuen Programms auf Twitter auf Menschen losgingen, die einen blauen Scheck über 8 US-Dollar beantragen wollten.

Das Abonnementprogramm - das später inmitten einer Reihe von öffentlichkeitswirksamen Änderungen, die seit der Übernahme der Social-Media-Website durch Elon Musk vorgenommen wurden, eingestellt wurde - dient als Erinnerung daran, dass jeder zur Zielscheibe werden kann und dass legitim aussehende Nachrichten das Werk von Cybergangs sein können. Diese Phishing-Kampagne war aus mehreren Gründen von Bedeutung:

• Es war sehr opportunistisch, die Öffentlichkeit und die Verwirrung um Twitter auszunutzen.
• Die Phishing-E-Mails waren sehr ausgefeilt, um die Empfänger zum Handeln zu bewegen.
• Die E-Mails konnten sich auch der Entdeckung entziehen, indem sie vertrauenswürdige Tools verwendeten, auf die die Sicherheitssysteme normalerweise nicht eingestellt sind.

Das Mimecast Security Operations Center hat die Kampagne im Detail analysiert und bietet nützliche Erkenntnisse über die Entwicklung von Phishing. 

Anatomie der Twitter-Phishing-Kampagne

Die Phishing-Kampagne begann am 3. und 4. November, als globale Scanner mehr als 300 E-Mails entdeckten, in denen Twitter-Abonnenten aufgefordert wurden, auf einen "Gehe zu deinem Profil"-Link zu klicken, um ihre Konten auf das neue Programm umzustellen. In der Nachricht wurde auch angedeutet, dass das Konto seinen Verifizierungsstatus verlieren würde, wenn der Nutzer nicht reagierte. Die genaue Anzahl der E-Mails, die die Abonnenten der Social-Media-Website getroffen haben, ist nicht bekannt.

Bei Phishing-Angriffen der alten Schule enthielten die Nachrichten in der Regel falsch geschriebene Wörter und wiesen nicht die Gestaltungselemente einer echten E-Mail auf, die von einem echten Unternehmen versandt wurde. Diese Kampagne war jedoch anders. Zum einen wirkten die E-Mails authentisch. Sie waren sauber formatiert und gut geschrieben. Zum anderen wurden sie über MailerSend, einen vertrauenswürdigen Transaktionsnachrichtendienst, versandt.

Höchstwahrscheinlich nutzten die Angreifer ein kompromittiertes MailerSend-Konto, das einem etablierten Gesundheitsdienstleister gehört. Doch damit war ihr Einfallsreichtum noch nicht erschöpft. Die Kampagne war zeitlich gut abgestimmt und sehr gezielt. Es wurde gestartet, als Gerüchte über Twitters Pläne zur Änderung des Abonnementmodells kursierten, und richtete sich an Twitter-Nutzer, die bereits den 4,99 $ pro Monat teuren Dienst Twitter Blue abonniert hatten.

Ein Klick auf den eingebetteten Link "Gehe zu deinem Profil" öffnete einen Browser, der eine Reihe von URL-Weiterleitungen durchlief, die schließlich zur Phishing-Seite führten, die eine von einem Online-Kleiderhändler gekaperte WordPress-Blog-Seite nutzte. Die Phishing-Seite zeigte ein authentisch aussehendes Popup-Fenster mit der Aufschrift "Bei Twitter anmelden".

Das wahrscheinlichste Motiv für den Angriff war der Diebstahl von Anmeldedaten und möglicherweise Kreditkarteninformationen, die später für andere Angriffe verwendet oder im Dark Web verkauft werden könnten.

Eine Mimecast-Analyse des Angriffs zeigt, dass Konten in den USA und Großbritannien die Hauptziele waren. Interessanterweise begann der Angriff bevor Twitter offiziell bekannt gegeben hatte, dass das 8-Dollar-Blaupausenprogramm tatsächlich eingeführt wurde. 

Außerdem besaß jeder Empfänger bereits den blauen Scheck über 4,99 Dollar, den Twitter im Rahmen seines früheren Verifizierungsprogramms angeboten hatte. Dies deutet darauf hin, dass die Angreifer einen erheblichen Aufwand für die Recherche, Planung und Durchführung dieser Phishing-Kampagne betrieben haben.

Lektionen aus Twitters lehrreichem Moment

Es gibt keine Möglichkeit, den Erfolg dieses Phishing-Angriffs festzustellen, da es keine forensische End-to-End-Einsicht gibt. Dennoch scheinen die Nachrichten die vorgesehenen Empfänger zu erreichen. Drei Dinge sind klar:

• Der Exploit umging mehrere Sicherheitsebenen bei verschiedenen Unternehmen und Anbietern, indem er vertrauenswürdige Tools und Umleitungen verwendete.
• Die E-Mails sahen seriöser aus als typische Phishing-Kampagnen.
• Die Kampagne nutzte die Ungewissheit und die Unterbrechung, die mit einer Vielzahl von Veränderungen bei Twitter einhergingen.

Twitter ist heutzutage nicht mehr das einzige Ziel für soziale Medien. Ein immer häufiger vorkommender Angriff auf LinkedIn nutzt zum Beispiel die Beiträge von Abonnenten über ihre Karriereschritte aus. Bei dieser "Neueinsteiger"-Variante wird der Abonnent mit einer Phishing-E-Mail angesprochen, die scheinbar von einem "leitenden Angestellten" des neuen Arbeitgebers stammt. Jeder Mitarbeiter, der auf diese Masche hereinfällt, ebnet den Angreifern den Weg, um seine Anmeldedaten zu stehlen, andere Geschäftsinformationen auszuspähen oder sein E-Mail-Konto zu übernehmen. Und das ist nicht die einzige LinkedIn-Sicherheitslücke: Ein anderer nutzt intelligente Links in LinkedIn Premium, um die Opfer auf eine bösartige Website umzuleiten.

Abgesehen von den sozialen Medien ist es auch wichtig, sich daran zu erinnern, dass der Opportunismus, den die Angreifer bei der Ausnutzung der Twitter-Werbung an den Tag gelegt haben, auch weiterhin ein Markenzeichen des Phishings sein wird. In der Vergangenheit haben Cyberkriminelle notorisch die Angst vor einer COVID-Pandemie in Phishing-Kampagnen ausgenutzt. Heute werden Hausbesitzer in Großbritannien mit E-Mails belästigt, in denen ihnen Energie-Rabatte versprochen werden, während ihre Heizkosten in die Höhe schnellen. 

Schutz vor sich entwickelnden Phishing-Angriffen

Phisher werden weiterhin Menschen und Unternehmen schikanieren - viele der gleichen Angriffe werden fortgesetzt oder weiterentwickelt, während neue auftauchen. Ein zweigleisiger Ansatz zum Schutz vor diesen Angriffen umfasst:

• Schutz. Erfolgreiche Angriffe haben gemeinsame Merkmale, da sie Menschen dazu verleiten, auf Links zu klicken, Malware herunterzuladen und vertrauliche Informationen preiszugeben. Zu den Sicherheitstools, mit denen Sie das Risiko für Ihr Unternehmen eindämmen können, gehören strengere Browserkontrollen und KI-gestützte Scanner , die sogar bisher unbekannte Bedrohungsarten erkennen können.
• Sensibilisierung. Phisher passen sich schnell an und ändern ihre Methoden. Sie werden auch immer besser darin, sich als Unternehmen auszugeben. Daher ist die Sicherheitsschulung entscheidend und muss regelmäßig aufgefrischt werden.

Die Quintessenz

Die jüngste Phishing-Kampagne, die sich an Twitter-Abonnenten richtete, ist die jüngste in einer langen Reihe von opportunistischen Cyberangriffen und ein Zeichen für künftige Angriffe auf soziale Medien. Phishing-Angriffe werden immer raffinierter und besser inszeniert - oft mit authentisch aussehenden E-Mails, die von kompromittierten Konten bei vertrauenswürdigen Quellen stammen. Um das Risiko eines erfolgreichen Angriffs zu minimieren, ist es wichtig, wachsam zu bleiben und eine Kombination aus Sensibilisierungstraining und Technologie einzusetzen. Lesen Sie, wie Mimecast täglich mehr als 1,3 Milliarden E-Mails analysiert, um vor Phishing zu schützen.