RMM-Phishing: USA sind das Hauptziel in 46 Ländern
ANY.RUN-Forschung verbindet 601 Fälle mit einer Phishing-Kampagne, die sich über 46 Länder erstreckt und die USA am stärksten trifft, unter Nutzung der Vercel-Infrastruktur.
Eine Phishing-Kampagne, die zunächst mit kanadischen Steuerformularen in Verbindung gebracht wurde, erstreckt sich nun nach neuen Erkenntnissen des Cybersicherheitsunternehmens ANY.RUN über 46 Länder, wobei die USA etwa 45 Prozent der beobachteten Aktivität ausmachen. Die Forscher verbanden 601 Fälle mit dieser größeren Operation, die gefälschte Dokumente nutzt, um Opfer dazu zu bringen, legitime Fernwartungs- und Verwaltungssoftware (RMM) zu installieren. RMM-Tools werden normalerweise von IT-Teams verwendet, um aus der Ferne auf Computer zuzugreifen und sie zu steuern, aber Angreifer missbrauchen sie, um ohne Autorisierung denselben Zugriff zu erhalten.
Die Angreifer passen ihre Köder an verschiedene Ziele an. ANY.RUN beobachtete gefälschte Versand- und UPS-Kommunikation, Adobe-PDF-Dateien, Steuerbescheide, Themen der US-amerikanischen Sozialversicherungsbehörde (Social Security Administration), Rechnungen und andere Dokumenttypen. Die Kampagne nutzt in großem Umfang schnell rotierende, wegwerfbare Infrastruktur, die auf Vercel gehostet wird, einer Cloud-Plattform zum Bereitstellen von Webanwendungen. Diese ständige Rotation erschwert die Verfolgung und Erkennung der Phishing-Seiten, da jede einzelne URL nur für sehr kurze Zeit aktiv ist.
ANY.RUN-Forscher identifizierten 425 Kit-URLs auf 240 Hosts, und 94 Prozent dieser URLs wurden nur an einem einzigen Tag beobachtet. Die Operation hat Vercel, GitHub Pages, Netlify, kompromittierte Websites und andere Infrastruktur genutzt, um die Phishing-Seiten auszuliefern. Die schädlichen Nutzlasten wurden auch über Dienste wie Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox und GoFile bereitgestellt. Trotz dieser schnellen Rotation hinterlässt das Phishing-Kit dauerhaftere Fingerabdrücke. Gemeinsame Ressourcen wie eine Datei namens font1.woff2, wiederkehrende Bildressourcen und ein spezifisches Lieferkettenmuster von "secure.html" gefolgt von einer "project/*.zip"-Datei halfen den Forschern, ansonsten getrennte Infrastruktur mit derselben Kampagne zu verbinden.
Die am stärksten betroffenen Branchen sind Bildung, Technologie und Regierung, während auch Banken, Finanzen und Fertigung stark betroffen sind. Die Kampagne zeigt, warum Erkennung nicht nur auf Malware-Bewertungen, Domain-Reputation oder einzelnen Indikatoren für Kompromittierung (IOCs) basieren kann. Einzelne Domains und RMM-Produkte sind wegwerfbar, aber die zugrunde liegende Lieferkette ist stabiler. Sicherheitsbetriebszentren (SOC) benötigen Zugang zum vollständigen Verhaltenskontext hinter verdächtigen Aktivitäten, um legitime RMM-Nutzung von Missbrauch zu unterscheiden.
ANY.RUN bietet Verteidigern mehrere Erkennungshinweise. Teams sollten eine produktagnostische Verteidigung aufbauen, die sich auf die Lieferkette und unbefugte Fernzugriffsaktivitäten konzentriert, anstatt einen bestimmten RMM-Anbieter zu blockieren. Da sich Domains täglich ändern, sollten Analysten stabilere Kit-Indikatoren priorisieren, wie die font1.woff2-Ressource, eine Bilddatei namens icons8-microsoft-word-94.png und die Kette von secure.html zu project/*.zip. E-Mail-Schutzmaßnahmen und Schulungen zur Sensibilisierung der Benutzer sollten die Zustellung passwortgeschützter Archive berücksichtigen. Die interaktive Sandbox von ANY.RUN deckte die Browseraktivitäten, Skripte, Prozesse, Downloads und das Netzwerkverhalten der Kampagne auf, während die Threat Intelligence Lookup persistente Indikatoren mit verwandter Infrastruktur und Fällen verband.
Für Organisationen, die diese Art von Bedrohungen in ihrer eigenen Umgebung überwachen müssen, kann sicherheitsorientierter IT-Support wie AEU-I Teams dabei helfen, Lieferketten zu überprüfen und unbefugte Fernzugriffsaktivitäten zu erkennen, bevor sie Schaden anrichten.
So schützen Sie sich
- Wenn Sie eine unerwartete E-Mail zu Steuern, Versand oder Rechnungen erhalten, klicken Sie nicht auf Links und öffnen Sie keine Anhänge, bis Sie den Absender direkt verifiziert haben.
- Installieren Sie niemals Fernzugriffssoftware, nur weil eine E-Mail oder ein Anruf Sie dazu auffordert, auch wenn es offiziell aussieht; rufen Sie das Unternehmen über eine Telefonnummer an, der Sie vertrauen.
- Öffnen Sie keine passwortgeschützten Archive von unbekannten Absendern, und seien Sie besonders vorsichtig, wenn das Passwort in einer separaten Nachricht ankommt.
- Halten Sie das Betriebssystem und die Antivirensoftware Ihres Computers auf dem neuesten Stand und führen Sie regelmäßige Scans durch.
- Melden Sie verdächtige E-Mails Ihrer IT-Abteilung oder Ihrem E-Mail-Anbieter, und wenn Sie glauben, etwas Gefährliches installiert zu haben, trennen Sie die Internetverbindung und holen Sie Hilfe.
Begriffe Erklärt
- RMM Software für Fernüberwachung und -verwaltung, die es IT-Mitarbeitern ermöglicht, Computer aus der Ferne zu steuern, was Angreifer missbrauchen können, um denselben Zugriff zu erhalten.
- phishing kit Ein vorgefertigter Satz von Webseiten und Dateien, den Kriminelle verwenden, um Menschen dazu zu bringen, Informationen preiszugeben oder schädliche Software zu installieren.
- SOC Security Operations Center, das Team in einem Unternehmen, das Cyber-Bedrohungen überwacht und darauf reagiert.
- IOCs Indikatoren für eine Kompromittierung, Beweisstücke wie Dateinamen oder Internetadressen, die darauf hindeuten, dass ein Computer oder Netzwerk angegriffen wurde.
- Vercel Eine Cloud-Plattform, die Unternehmen nutzen, um Websites ins Internet zu stellen, die Angreifer missbrauchen, um schnell und kostengünstig gefälschte Seiten zu hosten.