N0va Phishkit stiehlt Unternehmens-Logins über legitime Abläufe
Ein Phishing-Kit namens N0va wird laut einer von dem Sicherheitsanbieter ANY.RUN veröffentlichten Analyse in Kampagnen in Nordamerika und Europa eingesetzt, um weit verbreitete Business-Plattformen nachzuahmen und Kontozugriff über legitime Authentifizierungsabläufe zu stehlen. Ein Phishing-Kit ist ein fertiges Bündel aus Webseiten und Skripten, mit dem Kriminelle überzeugende gefälschte Login-Masken erstellen und die von Opfern eingegebenen Informationen abgreifen.
ANY.RUN berichtet, dass N0va-Aktivitäten in Organisationen aus den Bereichen Regierung, Technologie, Beratung, Gesundheitswesen und anderen Sektoren beobachtet wurden. Die Angriffe nutzen Köder, die vertrauenswürdige Business-Dienste wie Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom und Adobe Sign imitieren. Statt sich nur auf eine traditionelle gefälschte Login-Seite zu verlassen, die lediglich Benutzernamen und Passwörter sammelt, kann die Kampagne Opfer durch echte Authentifizierungsabläufe auf den legitimen Plattformen führen. Dadurch wirkt die Interaktion glaubwürdiger und der Angreifer kann Abwehrmaßnahmen umgehen, die nur nach offensichtlicher Malware suchen.
Die von ANY.RUN beschriebene Angriffskette beginnt mit einem Köder einer vertrauenswürdigen Marke und führt über Device-Code-Phishing zur legitimen Authentifizierung. Device-Code-Phishing ist eine Technik, die eine Anmeldeoption missbraucht, die für Geräte ohne vollständigen Webbrowser gedacht ist; das Opfer wird dazu gebracht, eine Anfrage zu bestätigen oder einen Code einzugeben, wodurch der Angreifer ein gültiges Token für das Konto des Opfers erhält. Nachdem der Nutzer die Authentifizierung abgeschlossen hat, kann N0va Access-Token und Refresh-Token abgreifen. Ein Access-Token ist ein kurzlebiger Nachweis, dass ein Nutzer bereits angemeldet ist, und ein Refresh-Token ermöglicht es dem Angreifer, neue Access-Token zu erhalten, ohne erneut nach dem Passwort zu fragen. Die Kampagne kann dann Token-Austausch- oder Geräteregistrierungsmechanismen missbrauchen, um Single-Sign-On-Zugriff (SSO) einzurichten. SSO bedeutet, dass eine bestätigte Anmeldung Zugriff auf viele verbundene Dienste gewährt, sodass eine einzige gestohlene Identität E-Mails, Dateien, Cloud-Anwendungen und andere Unternehmensressourcen öffnen kann.
Die Auswirkungen einer N0va-Kompromittierung hängen von den Berechtigungen des übernommenen Kontos ab, aber ANY.RUN warnt, dass die Folgen weit über die ursprüngliche Phishing-Nachricht hinausgehen können. Angreifer können kompromittierte Konten für Zahlungsbetrug, Rechnungsmanipulation oder andere finanziell motivierte Aktivitäten nutzen. Der Zugriff auf Business-Anwendungen kann Kundendaten, Mitarbeiterinformationen, geistiges Eigentum und vertrauliche Kommunikation offenlegen. Die Eindämmung kann Sicherheitsteams dazu zwingen, aktive Sitzungen zu widerrufen, Zugriffe zurückzusetzen, betroffene Systeme zu untersuchen und Dienste einzuschränken, während der Vorfall behoben wird. Die Offenlegung regulierter Daten kann Meldepflichten, Untersuchungen, vertragliche Probleme oder Strafen auslösen, und ein Sicherheitsvorfall mit vertrauenswürdigen Unternehmenskonten kann das Vertrauen von Kunden schwächen und die Beziehungen zu Partnern und Klienten belasten.
Die Analyse von ANY.RUN enthält mehrere Möglichkeiten für Sicherheitsteams, N0va zu untersuchen und darauf zu reagieren. Der Threat Intelligence Lookup ermöglicht es Analysten, nach einem charakteristischen URL-Muster der Kampagne zu suchen: /api/verification/init?session=*&flow=*prompt_profile=". Die Abfrage zeigt passende URLs und zugehörige Aktivitäten mit derselben Anfragestruktur an und hilft Analysten zu sehen, wie die Kampagne über verschiedene Einreichungen und Infrastrukturen hinweg erscheint, anstatt jeden Indikator als isoliertes Ereignis zu behandeln. In einem aktuellen Fall mit einem Microsoft-Köder lieferte die interaktive Sandbox von ANY.RUN das erste bösartige Urteil in 24 Sekunden und deckte die vollständige Angriffskette innerhalb derselben Sitzung auf. Das Unternehmen gibt an, dass seine Threat Intelligence aus Aktivitäten aufgebaut ist, die in mehr als 16.000 Organisationen und von 700.000 Sicherheitsexperten beobachtet wurden. Sobald N0va-Aktivitäten bestätigt sind, können die Threat-Intelligence-Feeds von ANY.RUN Indicators of Compromise in SIEM, SOAR, EDR, Firewalls und andere bereits in einer Umgebung genutzte Sicherheitstools liefern. ANY.RUN berichtet, dass Organisationen, die seine Plattform nutzen, die Untersuchungszeit der Stufe 1 um 20 Prozent verkürzt, die Eskalationen von Stufe 1 zu Stufe 2 um 30 Prozent reduziert und die mittlere Reaktionszeit (MTTR) um 21 Minuten pro Fall gesenkt haben.
Für Website-Betreiber und Unternehmen ist N0va eine Erinnerung daran, dass Kontosicherheit und Infrastruktursicherheit eng miteinander verbunden sind. Eine kompromittierte Microsoft- oder Google-Identität kann genutzt werden, um auf dieselben Control Panels, Dateispeicher und Cloud-Dienste zuzugreifen, die die Website und Kundendaten eines Unternehmens betreiben. AEU-I, der sicherheitsorientierte IT- und Beratungsservice der AEU Group, hilft Organisationen, konsistente Identitäts- und Zugriffskontrollen in ihrer Infrastruktur durchzusetzen, was den Schadenradius dieser Art von phishing-bedingter Kontoübernahme verringern kann.