N0va Phishkit stiehlt Unternehmens-Logins über legitime Abläufe
N0va-Phishing-Kampagnen geben sich als Microsoft Teams, SharePoint und andere Business-Tools aus, missbrauchen legitime Authentifizierung, um Zugriffstoken zu stehlen und SSO-Zugriff zu ermöglichen.
Ein Phishing-Kit namens N0va wird laut einer von dem Sicherheitsanbieter ANY.RUN veröffentlichten Analyse in Kampagnen in Nordamerika und Europa eingesetzt, um weit verbreitete Business-Plattformen nachzuahmen und Kontozugriff über legitime Authentifizierungsabläufe zu stehlen. Ein Phishing-Kit ist ein fertiges Bündel aus Webseiten und Skripten, mit dem Kriminelle überzeugende gefälschte Login-Masken erstellen und die von Opfern eingegebenen Informationen abgreifen.
ANY.RUN berichtet, dass N0va-Aktivitäten in Organisationen aus den Bereichen Regierung, Technologie, Beratung, Gesundheitswesen und anderen Sektoren beobachtet wurden. Die Angriffe nutzen Köder, die vertrauenswürdige Business-Dienste wie Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom und Adobe Sign imitieren. Statt sich nur auf eine traditionelle gefälschte Login-Seite zu verlassen, die lediglich Benutzernamen und Passwörter sammelt, kann die Kampagne Opfer durch echte Authentifizierungsabläufe auf den legitimen Plattformen führen. Dadurch wirkt die Interaktion glaubwürdiger und der Angreifer kann Abwehrmaßnahmen umgehen, die nur nach offensichtlicher Malware suchen.
Die von ANY.RUN beschriebene Angriffskette beginnt mit einem Köder einer vertrauenswürdigen Marke und führt über Device-Code-Phishing zur legitimen Authentifizierung. Device-Code-Phishing ist eine Technik, die eine Anmeldeoption missbraucht, die für Geräte ohne vollständigen Webbrowser gedacht ist; das Opfer wird dazu gebracht, eine Anfrage zu bestätigen oder einen Code einzugeben, wodurch der Angreifer ein gültiges Token für das Konto des Opfers erhält. Nachdem der Nutzer die Authentifizierung abgeschlossen hat, kann N0va Access-Token und Refresh-Token abgreifen. Ein Access-Token ist ein kurzlebiger Nachweis, dass ein Nutzer bereits angemeldet ist, und ein Refresh-Token ermöglicht es dem Angreifer, neue Access-Token zu erhalten, ohne erneut nach dem Passwort zu fragen. Die Kampagne kann dann Token-Austausch- oder Geräteregistrierungsmechanismen missbrauchen, um Single-Sign-On-Zugriff (SSO) einzurichten. SSO bedeutet, dass eine bestätigte Anmeldung Zugriff auf viele verbundene Dienste gewährt, sodass eine einzige gestohlene Identität E-Mails, Dateien, Cloud-Anwendungen und andere Unternehmensressourcen öffnen kann.
Die Auswirkungen einer N0va-Kompromittierung hängen von den Berechtigungen des übernommenen Kontos ab, aber ANY.RUN warnt, dass die Folgen weit über die ursprüngliche Phishing-Nachricht hinausgehen können. Angreifer können kompromittierte Konten für Zahlungsbetrug, Rechnungsmanipulation oder andere finanziell motivierte Aktivitäten nutzen. Der Zugriff auf Business-Anwendungen kann Kundendaten, Mitarbeiterinformationen, geistiges Eigentum und vertrauliche Kommunikation offenlegen. Die Eindämmung kann Sicherheitsteams dazu zwingen, aktive Sitzungen zu widerrufen, Zugriffe zurückzusetzen, betroffene Systeme zu untersuchen und Dienste einzuschränken, während der Vorfall behoben wird. Die Offenlegung regulierter Daten kann Meldepflichten, Untersuchungen, vertragliche Probleme oder Strafen auslösen, und ein Sicherheitsvorfall mit vertrauenswürdigen Unternehmenskonten kann das Vertrauen von Kunden schwächen und die Beziehungen zu Partnern und Klienten belasten.
Die Analyse von ANY.RUN enthält mehrere Möglichkeiten für Sicherheitsteams, N0va zu untersuchen und darauf zu reagieren. Der Threat Intelligence Lookup ermöglicht es Analysten, nach einem charakteristischen URL-Muster der Kampagne zu suchen: /api/verification/init?session=*&flow=*prompt_profile=". Die Abfrage zeigt passende URLs und zugehörige Aktivitäten mit derselben Anfragestruktur an und hilft Analysten zu sehen, wie die Kampagne über verschiedene Einreichungen und Infrastrukturen hinweg erscheint, anstatt jeden Indikator als isoliertes Ereignis zu behandeln. In einem aktuellen Fall mit einem Microsoft-Köder lieferte die interaktive Sandbox von ANY.RUN das erste bösartige Urteil in 24 Sekunden und deckte die vollständige Angriffskette innerhalb derselben Sitzung auf. Das Unternehmen gibt an, dass seine Threat Intelligence aus Aktivitäten aufgebaut ist, die in mehr als 16.000 Organisationen und von 700.000 Sicherheitsexperten beobachtet wurden. Sobald N0va-Aktivitäten bestätigt sind, können die Threat-Intelligence-Feeds von ANY.RUN Indicators of Compromise in SIEM, SOAR, EDR, Firewalls und andere bereits in einer Umgebung genutzte Sicherheitstools liefern. ANY.RUN berichtet, dass Organisationen, die seine Plattform nutzen, die Untersuchungszeit der Stufe 1 um 20 Prozent verkürzt, die Eskalationen von Stufe 1 zu Stufe 2 um 30 Prozent reduziert und die mittlere Reaktionszeit (MTTR) um 21 Minuten pro Fall gesenkt haben.
Für Website-Betreiber und Unternehmen ist N0va eine Erinnerung daran, dass Kontosicherheit und Infrastruktursicherheit eng miteinander verbunden sind. Eine kompromittierte Microsoft- oder Google-Identität kann genutzt werden, um auf dieselben Control Panels, Dateispeicher und Cloud-Dienste zuzugreifen, die die Website und Kundendaten eines Unternehmens betreiben. AEU-I, der sicherheitsorientierte IT- und Beratungsservice der AEU Group, hilft Organisationen, konsistente Identitäts- und Zugriffskontrollen in ihrer Infrastruktur durchzusetzen, was den Schadenradius dieser Art von phishing-bedingter Kontoübernahme verringern kann.
So schützen Sie sich
- Wenn Sie eine unerwartete E-Mail oder Nachricht erhalten, in der Sie aufgefordert werden, sich bei Microsoft Teams, SharePoint oder einem ähnlichen Dienst anzumelden, klicken Sie nicht auf den Link; öffnen Sie den Dienst, indem Sie die Adre
- Wenn Sie aufgefordert werden, einen auf einem anderen Gerät angezeigten Code einzugeben oder eine Anmeldung zu bestätigen, die Sie nicht gestartet haben, halten Sie inne und kontaktieren Sie Ihr IT-Team, bevor Sie etwas tun.
- Aktivieren Sie die Multi-Faktor-Authentifizierung für Ihre Geschäftskonten und bevorzugen Sie Authentifizierungsmethoden, die phishing-resistent sind, wo Ihr Dienst sie anbietet.
- Überprüfen Sie regelmäßig die aktiven Sitzungen oder verbundenen Geräte in Ihren Microsoft-, Google- und anderen Geschäftskonten und melden Sie alles ab, was Sie nicht erkennen.
- Melden Sie verdächtige Anmeldeaufforderungen oder unerwartete Kontoaktivitäten sofort Ihrem IT- oder Sicherheitsteam, auch wenn Sie glauben, die Seite bereits geschlossen zu haben.
Begriffe Erklärt
- phishing kit Ein fertiges Set aus Webseiten und Skripten, mit dem Kriminelle gefälschte Anmeldeseiten erstellen und Kontodaten sammeln.
- access token Ein kurzlebiger digitaler Nachweis, dass ein Benutzer bereits angemeldet ist, der es einem Gerät ermöglicht, verbunden zu bleiben, ohne das Passwort erneut einzugeben.
- refresh token Ein länger gültiger Anmeldeinformation, mit dem ein Angreifer neue Zugriffstoken erhalten kann, ohne das Passwort des Opfers zu kennen.
- single sign-on (SSO) Eine Methode, bei der eine genehmigte Anmeldung mehrere verbundene Dienste gleichzeitig öffnet.
- device code phishing Ein Trick, der eine Anmeldeoption für Geräte ohne vollständigen Browser missbraucht und das Opfer dazu bringt, eine Anfrage zu genehmigen, die dem Angreifer ein gültiges Token verschafft.
- indicators of compromise Signale wie bösartige Webadressen, Dateihashes oder Netzwerkmuster, die Sicherheitsteams bei der Erkennung eines Angriffs unterstützen.
- SIEM Ein System, das Sicherheitswarnungen aus vielen Teilen des Netzwerks eines Unternehmens sammelt und analysiert.
- SOAR Eine Plattform, die routinemäßige Sicherheitsaufgaben automatisiert und die Koordination von Reaktionen auf Vorfälle unterstützt.
- EDR Software, die Computer und Server auf verdächtiges Verhalten überwacht und hilft, Bedrohungen zu stoppen.