Scam in der Cloud So nutzen Betrüger Google Cloud Storage für betrügerische Kampagnen aus

Anbieter zum Thema

Cloudgermany.de GmbH

Betrügerische Online-Kampagnen nutzen zunehmend die Infrastruktur vertrauenswürdiger Cloud-Dienste, um Sicherheitsmechanismen zu umgehen. Angreifer arbeiten mit täuschend echten Phishing-Mails, legitimen Google-Domains und mehrstufigen Weiterleitungen, um Nutzer zur Preisgabe sensibler Daten oder zu Zahlungen zu bewegen.

Betrugskampagnen entwickeln sich ständig weiter und kombinieren zunehmend legitime Cloud-Infrastruktur mit Täuschungstaktiken, um sowohl menschliche Vorsicht als auch technische Sicherheitsmaßnahmen zu umgehen. In den letzten Monaten ist ein wiederkehrender Trend zu beobachten: der Missbrauch von Google Cloud Storage (GCS) – einem Dienst, der normalerweise zur Bereitstellung von Dateien oder Webseiten dient – zur Verbreitung überzeugender E-Mail- und webbasierter Betrugsversuche.

Diese Kampagnen nutzen vertrauenswürdige Domains, bestehen teilweise sogar grundlegende Authentifizierungsprüfungen wie SPF (Sender Policy Framework) und leiten Nutzer über mehrere legitime Dienste weiter, bevor sie zur Eingabe persönlicher Daten oder zur Zahlung aufgefordert werden. Der diesem Artikel zugrunde liegende aktuelle Bericht „Scam in the Cloud: How Fraudsters Exploit Google Cloud Storage for Deceptive Campaigns“ von Aryaka Threat Research Labs beleuchtet, wie diese Betrügereien funktionieren, warum sie so effektiv sind und welche Lehren Sicherheitsverantwortliche daraus ziehen können.

E-Mail als Angriffsvektor

Der Betrug beginnt mit einer scheinbar authentischen und dringlichen E-Mail. Die Betreffzeilen ähneln oft Servicebenachrichtigungen von bekannten Marken wie Gmail, Google Drive oder angeblich internen Systemmeldungen. Die Sprache ist klar, professionell und ohne die typischen grammatikalischen Fehler früherer Betrugsversuche. Die Empfänger werden aufgefordert, ihr Konto zu verifizieren, ein angeblich ausstehendes Dokument zu überprüfen oder ihre Mailbox zu „sichern“, um eine Sperrung zu verhindern.

Diese Mails wirken besonders gefährlich, weil sie auf den ersten Blick legitim erscheinen. Sie bestehen häufig die SPF-Prüfung, d. h., die Absender-IP ist für die im SMTP-Envelope genannte Domain autorisiert. Für viele E-Mail-Filter genügt das, um die Nachricht als sicher einzustufen. Eine genauere Analyse zeigt jedoch, dass DKIM-Signaturen (DomainKeys Identified Mail) fehlen oder ungültig sind. Wird SPF bestanden, aber DKIM nicht validiert, entstehen widersprüchliche Signale für die E-Mail-Gateways. Ohne eine strikt durchgesetzte DMARC-Richtlinie (Domain-based Message Authentication, Reporting & Conformance) gelangen solche Nachrichten oft problemlos ins Postfach.

Missbrauch vertrauenswürdiger Links

In unserer Untersuchung beobachteten wir eine verdächtige Nachricht, die an ein Gmail-Konto zugestellt wurde – mit dem Betreff „Subscription Termination Notice“, wie in Abbildung 1 dargestellt. Solche Links führen zu einer vertrauenswürdigen Google-Domain und wirken harmlos. Viele Anti-Phishing-Systeme stufen sie ebenfalls als sicher ein, wodurch sie ohne Warnung im Posteingang landen.

SPF prüft nur, ob der Absender-Server E-Mails für eine Domain versenden darf, aber nicht den Inhalt. DKIM fügt eine digitale Signatur hinzu, um Nachricht und Absender zu validieren. DMARC verbindet SPF und DKIM und verlangt, dass die sichtbare Absenderadresse mit der validierten Domain übereinstimmt.

Wie in Abbildung 2 zu sehen ist, eröffnen sich Angreifern Möglichkeiten, wenn SPF erfolgreich ist, DKIM jedoch fehlschlägt und DMARC entweder fehlt oder auf „none“ gesetzt ist. In diesem Fall können E-Mails über Server versendet werden, die für eine verwandte Domain autorisiert sind, wodurch sie die SPF-Prüfung bestehen und dennoch vertrauenswürdig wirken. Ohne eine strikt konfigurierte DMARC-Richtlinie, die den Empfängern vorschreibt, solche fehlerhaften Nachrichten zu isolieren oder abzulehnen, werden diese gefälschten E-Mails erfolgreich zugestellt.

Weitere DNS-Abfragen zeigen, dass weder DKIM noch DMARC korrekt hinterlegt sind – ein Einfallstor für Missbrauch (siehe Abbildung 3).

Die Weiterleitungskette: Von GCS zur Betrugsseite

Sobald der Nutzer auf den Link klickt, beginnt die Täuschungssequenz. Die auf GCS gehostete Seite besteht in der Regel aus einer kleinen HTML-Datei mit einem kurzen JavaScript-Snippet, das kodierte Daten aus dem URL-Fragment (dem Teil nach dem #) ausliest und eine clientseitige Weiterleitung ausführt. Da diese Weiterleitung im Browser stattfindet, übersehen statische URL‑Scanner und Tools, die nur serverseitigen Weiterleitungen folgen, häufig die nächste Stufe. Dadurch eignet sich das ursprüngliche GCS-Objekt ideal als einfacher Redirector: Es nutzt den guten Ruf der Google-Domain und verbirgt gleichzeitig das eigentliche Ziel in kodierten Fragmenten und JavaScript-Logik.

Ein beobachtetes Beispiel:

hxxp://storage.googleapis.com/dfh7d89fh7df4j65djf4g65j4s6fg7jjj/28s.html#/clo5.html?syb=1x168b76b968e4e8_vl_fresh.jihyr33s4zk-313ckmk.4ecv2dc.wppfiLMzNzNHprLTMxM2NrbWs0z7eDn

Die vollständige Weiterleitungskette, die in unseren Traffic-Logs aufgezeichnet und in Abbildung 4 dargestellt ist, beginnt mit der GCS‑URL, durchläuft mehrere Zwischen-Domains und führt schließlich zur finalen Zielseite. Diese Weiterleitungssequenz umfasst häufig Bot-Erkennungsmechanismen wie hCaptcha. Das Vorhandensein eines CAPTCHA-Dienstes hilft dabei, automatisierte Analysetools auszufiltern, während es gleichzeitig für menschliche Nutzer einen Eindruck von Legitimität vermittelt.

Nach dem CAPTCHA werden Nutzer auf die endgültige Zielseite weitergeleitet: hxxps://1wkcif.com/v3/landing-fortune-wheel?sub1=31dff102-9faf-11f0-a9d6-41297bf4df22&sub2=74698. Der Inhalt dieser Seite variiert je nach Kampagne – von gefälschten Geschenkkarten über Gewinnspiele bis hin zu Inhalten für Erwachsene.

Dateneingabe und Tracking

In dem Beispiel werden Nutzer zunächst auf ein Glücksrad-Spiel weitergeleitet. Nach dem virtuellen Dreh erhalten sie eine Mitteilung, dass sie einen Bonus gewonnen haben. Um diesen Preis einzulösen, werden sie anschließend auf eine Registrierungsseite geleitet, auf der sie ihre Telefonnummer, Währung, E-Mail-Adresse und ein Passwort angeben sollen.

Nach Abschluss der Registrierung werden vom Endgerät des Nutzers detaillierte Informationen über den Browser und die Plattform gesammelt – darunter Domain und Subdomain, Browser- und Betriebssystemdetails, installierte Erweiterungen, Autofill-Einstellungen, Lizenztyp und Registrierungsstatus. Diese Daten werden an Drittanbieter-Analysedienste wie Mixpanel, Google Analytics und Amplitude übermittelt, die Nutzerinteraktionen nachverfolgen und Ereignisdaten für Analysen sammeln (siehe Abbildung 5). Im Anschluss wird der Nutzer auf eine weitere Seite umgeleitet, auf der er zur Einzahlung von Geld aufgefordert wird, um den beworbenen Bonus zu erhalten.

Der Ablauf vom ersten Lockangebot über das Spiel, die Registrierung und die Zahlung zur Einlösung des Bonus ist ein klassisches Betrugsmuster, das darauf ausgelegt ist, sowohl Geld als auch persönliche Daten zu stehlen. Die Anforderung einer Vorauszahlung zur Einlösung eines angeblichen Gewinns ist ein klares Anzeichen für Betrug. Nutzer werden dabei innerhalb kurzer Zeit von einer risikofreien Interaktion zu einer finanziellen Handlung mit hohem Risiko gedrängt.

Die finalen Zielseiten wechseln häufig – derselbe GCS-Link kann unterschiedliche Inhalte ausliefern. Jede Variante verfolgt letztlich dasselbe Ziel: die Erfassung von Zahlungsdaten, Nutzerprofilen und deren dauerhafte Analyse über angebundene Tracking-Plattformen.

Langfristige Risiken und Missbrauchspotenzial

Solche Angriffe führen nicht nur zu unmittelbarem finanziellem Schaden. Gestohlene Daten können weiterverkauft oder für Folgeangriffe verwendet werden. Die Kombination aus vertrauten Domains, CAPTCHA-Schutz und überzeugendem Design erschwert die Erkennung.

Dieser Betrug veranschaulicht, wie legitime Cloud-Dienste und Analyseplattformen manipuliert werden können, um glaubhafte, aber betrügerische Nutzererfahrungen zu erzeugen. Somit wird das Vertrauen in eigentlich „echte“ Cloud-Angebote und Online-Aktionen nachhaltig erschüttert. Indem sie vertrauenswürdige Domains, CAPTCHA-Abfragen und professionell gestaltete Oberflächen geschickt kombinieren, gelingt es Betrügern, sowohl automatisierte Schutzmechanismen als auch menschliche Skepsis zu umgehen. Was mit einer harmlos wirkenden E-Mail beginnt, endet mit dem Diebstahl persönlicher und finanzieller Informationen – getarnt als vermeintlicher Gewinn oder Bonus.

Um sich zu schützen, sollten Nutzer bei jeder Nachricht, die zu sofortigem Handeln oder zur Zahlung zur Einlösung eines Preises auffordert, besonders wachsam sein. Organisationen wiederum müssen strenge DMARC-Richtlinien durchsetzen, Mechanismen zur Linkprüfung verbessern und den Missbrauch vertrauenswürdiger Plattformen wie Google Cloud Storage aktiv überwachen. Letztlich bleiben Sensibilisierung und ein mehrschichtiger Sicherheitsansatz die wirksamsten Verteidigungsstrategien. Zu verstehen, wie diese Betrugsmaschen das Vertrauen der Nutzer ausnutzen, ist der erste Schritt, um ihren Erfolg zu durchbrechen und weitere Opfer zu verhindern.

(ID:50656781)