Phishing mit Cloud-Diensten Kaspersky warnt vor Cloud-Phishing

Anbieter zum Thema

Kaspersky Labs GmbH

Hyland Software Germany GmbH

Knapp 400.000 Phishing-Angriffe liefen binnen zwölf Monaten über bekannte Cloud-Dienste. Die Kampagnen fälschten Microsoft-365-Anmeldungen, sammelten Passwörter, MFA-Codes und Sitzungs-Cookies und erschwerten mit mehreren technischen Tricks ihre Entdeckung.

390.000 Phishing-Angriffe in zwölf Monaten zeigen, wie stark Cyberkriminelle auf etablierte Cloud-Infrastrukturen setzen. Nach Angaben von Kaspersky missbrauchten die Angreifer unter anderem Cloudflare Workers, Vercel, Netlify, GitHub Pages und das InterPlanetary File System (IPFS).

Der Vorteil für die Täter liegt in der Reputation dieser Plattformen. Sicherheitslösungen und Nutzer stufen bekannte Cloud-Domains nicht automatisch als verdächtig ein. Hinzu kommen kostenfreie Tarife und Werkzeuge, mit denen sich Bestandteile einer Phishing-Kampagne ohne eigene Serverinfrastruktur umsetzen lassen.

„Angreifer missbrauchen legitime Dienste, da diese über eine hohe Reputation sowie kostenfreie Tarife oder Tools verfügen, die sich für ihre Zwecke ausnutzen lassen“, erläutert Olga Altukhova, Cybersicherheitsexpertin bei Kaspersky. „In dem von uns identifizierten Beispiel konnten die Phishing-Akteure einen mehrstufigen Adversary-in-the-Middle-Angriff umsetzen. Dabei leiteten sie den gesamten Datenverkehr einer vermeintlich legitimen Microsoft-Webseite weiter und kombinierten diesen Ansatz mit Browser-in-the-Browser-Techniken. Das zeigt, wie ausgefeilt Phishing-Methoden inzwischen sind.“

Mehrere Stationen bis zum gefälschten Login

Die Kampagne beginnt mit einer E-Mail, die den Eindruck erweckt, von einem bekannten Kontakt zu stammen. Ein Link führt zu einer angeblichen Microsoft-Kontoanmeldung.

Der eigentliche Angriff läuft jedoch über mehrere vorgeschaltete Seiten:

• Gefälschte Anti-Bot-Prüfung: Eine vermeintliche CAPTCHA-Seite fordert die geschäftliche E-Mail-Adresse an.

• Weiterleitung über Cloudflare Workers: Die eingegebene Adresse wird an eine Subdomain übergeben. Sie steckt im URL-Hash und kann dort ausgelesen werden, ohne dass die Folgeseite direkt auf einen Server der Angreifer zugreifen muss.

• Dynamisch eingebundenes CAPTCHA: Eine weitere Prüfung funktioniert zwar tatsächlich, wird aber erst während des Seitenaufrufs in die Webseite integriert. Das erschwert automatisierte Analysen.

• Nachgebautes Microsoft-365-Fenster: Eine Browser-in-the-Browser-Darstellung simuliert ein echtes Anmeldefenster.

Die letzte Stufe dient nicht nur der Täuschung. Über das Formular greifen die Angreifer Nutzernamen, Passwörter, MFA-Codes und Sitzungs-Cookies ab. Anschließend landet das Opfer häufig auf einer allgemeinen Fehlerseite. Der Vorgang wirkt damit wie ein fehlgeschlagener Login, obwohl die Zugangsdaten bereits abgeflossen sind.

Bildergalerie

MFA schützt nicht gegen jeden Angriff

Die Kampagne verdeutlicht eine Schwachstelle in der verbreiteten Erwartung, Multi-Factor-Authentication (MFA) mache Phishing weitgehend wirkungslos. In diesem Fall fragen die Angreifer neben dem Passwort auch den MFA-Code ab und übertragen zusätzlich die Sitzung des Nutzers. Kaspersky ordnet das Vorgehen als mehrstufigen Adversary-in-the-Middle-Angriff ein.

Neue Funktionen für Container und Hybrid

Kaspersky stärkt Cloud-Schutz

Damit verschiebt sich die Abwehr. Nicht allein der Schutz des Kontos zählt, sondern auch die Prüfung des Anmeldekontexts und der aufgerufenen Seite. Bekannte Cloud-Dienste sind dabei kein verlässliches Echtheitssignal. Gerade ihre legitime Infrastruktur macht die Kampagnen für klassische Filter schwerer erkennbar.

Der Fall zeigt außerdem, dass Phishing nicht mehr zwingend an einer offensichtlich gefälschten Domain oder einer einfachen Login-Kopie zu erkennen ist. Mehrere Weiterleitungen, dynamische Inhalte und eingebettete Dialoge erzeugen eine glaubwürdige Oberfläche. Eine anschließende Fehlerseite soll den Angriff zusätzlich aus dem Blickfeld rücken.

(ID:50919734)