HackerangriffePhishingDatenschutz

UNC6783: Hackergruppe stiehlt Zendesk-Tickets über kompromittierte BPO-Dienstleister

UNC6783: Hackergruppe stiehlt Zendesk-Tickets über kompromittierte BPO-Dienstleister
Zusammenfassung

Die Bedrohungsgruppe UNC6783 führt derzeit eine ausgefeilte Angriffskampagne durch, die Business Process Outsourcing (BPO)-Anbieter ins Visier nimmt, um auf lukrative Unternehmen verschiedener Branchen zuzugreifen. Wie die Google Threat Intelligence Group enthüllt hat, hat die Hacker-Gruppe Dutzende von Unternehmenseinrichtungen durch gezielte Social-Engineering- und Phishing-Kampagnen kompromittiert, um sensible Daten für Erpressungszwecke zu exfiltrieren. Die Angreifer nutzen dabei ausgefeilte Techniken wie gefälschte Okta-Login-Seiten und Phishing-Kits, die Clipboard-Inhalte kopieren können, um Multi-Faktor-Authentifizierung zu umgehen. Besonders bemerkenswert ist der Fall, bei dem möglicherweise 13 Millionen Support-Tickets von Adobe gestohlen wurden. Für deutsche Nutzer und Unternehmen stellt diese Entwicklung eine ernsthafte Bedrohung dar, da auch hiesige Betriebe häufig BPO-Dienstleister einsetzen. Besonders Großunternehmen, Finanzinstitutionen und Organisationen, die sensible Kundendaten verwalten, sollten ihre Sicherheitsmaßnahmen überprüfen und ihre Support-Systeme verstärkt überwachen, um nicht selbst Opfer dieser zielgerichteten Angriffskampagne zu werden.

UNC6783 nutzt eine äußerst raffinierte Angriffsmethode: Statt direkt Zielunternehmen zu attackieren, kompromittieren die Hacker zunächst deren Dienstleister. Dazu zählen Business-Process-Outsourcing-Anbieter, die weltweit für Großkonzerne arbeiten. Über diese Hintertür erhalten die Cyberkriminellen dann Zugriff auf hochwertige Daten – und das mit deutlich weniger Abwehrbarrieren als bei direkten Angriffen.

Bei den Angriffen setzen die Kriminellen auf bewährte Social-Engineering-Methoden: Phishing-E-Mails leiten Support-Mitarbeiter auf gefälschte Okta-Anmeldeseiten weiter, die unter Domains wie “.zendesk-support##.com” gehostet werden. Diese Seiten kopieren das Design der legitimen Zielunternehmen perfekt nach. Das eingesetzte Phishing-Kit geht noch einen Schritt weiter: Es kann Clipboard-Inhalte kopieren und damit Multi-Faktor-Authentifizierung (MFA) umgehen – ein erhebliches Sicherheitsrisiko.

Google-Forscher haben zudem beobachtet, dass UNC6783 gefälschte Sicherheitsupdates einsetzt, um Remote-Access-Malware auf Systemen einzuschleusen. Nach erfolgreicher Datenexfiltration kontaktieren die Täter ihre Opfer über ProtonMail-Adressen und fordern Lösegeld.

Die Verbindung zu “Raccoon” ist bemerkenswert: Eine Person unter diesem Alias soll jüngst eine Sicherheitslücke bei Adobe-Services gestanden haben. Der Hacker behauptete, über einen in Indien ansässigen BPO-Dienstleister eingedrungen zu sein und 13 Millionen Support-Tickets gestohlen zu haben – inklusive Kundendaten, Mitarbeiteraufzeichnungen und HackerOne-Submissions. Während Adobe diese Brute nicht offiziell bestätigte, deutet die Aussage des Crunchyroll-Hackers auf eine mögliche Verbindung hin.

Google empfiehlt deutschen Unternehmen und ihren Dienstleistern konkrete Gegenmaßnahmen: FIDO2-Sicherheitsschlüssel statt reiner SMS-basierter MFA, verstärkte Überwachung von Live-Chat-Kanälen, das Blockieren von Domains mit Zendesk-ähnlichen Mustern und regelmäßige Audits der MFA-Device-Registrierungen.

Ähnliche Artikel