NovaCookies wird laut den Erkenntnissen über Telegram beworben. Der Messenger dient dabei nicht nur als Vertriebskanal, sondern auch als Infrastruktur: Dort werden Kundenprofile verwaltet, Weiterleitungsdienste konfiguriert und der Support erreicht.
Proofpoint ordnet NovaCookies als Variante des Phishing-Kits Sneaky 2FA ein. “Während das ursprüngliche Sneaky2FA vor allem auf Microsoft-Konten zu zielen schien, enthält die NovaCookies-Variante eigene Abläufe für weitere Identitätsanbieter, darunter Okta und Entra-Domains, die zu GoDaddy föderiert sind”, schrieb Proofpoint in einem Beitrag auf X. Ein weiterer Unterschied liegt im Geschäftsmodell: Anders als Sneaky2FA setzt NovaCookies auf ein vollständig verwaltetes Phishing-as-a-Service-Modell (PhaaS), bei dem Partner für die Nutzung der Plattform zahlen und die Infrastruktur zentral vom Betreiber gehostet wird — statt von jedem Partner selbst.
Viele der Lockdomains liegen unter der Endung “.vu”, etwa “fordmotbvmorcompany[.]vu”. Die Phishing-URLs arbeiten mit Groß- und Kleinschreibung im Wechsel, um legitime Microsoft-Dienste vorzutäuschen — Beispiele sind Pfadbestandteile wie PwPt-sHaRe, Ms36-AcCeSs und ClOd-ViEw.
Eine der Angriffsketten nutzt Docusign-Benachrichtigungen als Köder. Da es sich um eine echte Benachrichtigung des Dienstes handelt, passieren die Mails Absenderauthentifizierung und Reputationsprüfungen; bösartig ist allein das über den Dienst geteilte Dokument. “Aufgestylt als Docusign-Freigabehinweis, behauptete die Nachricht, eine Buchhaltungsabteilung habe eine PDF mit Zahlungsavis geteilt, und lud den Empfänger ein, sie zu öffnen”, so Island. “Das bösartige Ziel steckte im Dokument selbst, unterhalb der Schicht, die die meisten E-Mail-Sicherheitsprodukte prüfen.”
Anschließend kommt eine OAuth-Fehler-Weiterleitungstechnik zum Einsatz, die Microsoft bereits im März beschrieben hatte, um die Opfer auf die Infrastruktur der Angreifer zu führen. Dort läuft das AitM-Relay, das Zugangsdaten und Sitzungsinformationen abgreift und parallel in Echtzeit an Microsoft weiterleitet. Vor der Anzeige des gefälschten Microsoft-365-Anmeldeformulars prüft das Kit auf Analyseumgebungen — dazu gehören ein Cloudflare-Gate und ein Mechanismus zur Erkennung von Ausführungsmustern von Debugging-Werkzeugen.
“NovaCookies ist so gebaut, dass jeder einzelne Zwischenschritt für sich legitim aussieht: ein vertrauenswürdiger Zustelldienst, eine Weiterleitung über einen Identitätsanbieter, dann eine vertraute Anmeldeseite”, so Island. Diese Teile landeten oft in unterschiedlichen Werkzeugen; erst im Browser würden sie zu einem einzigen Ereignis.
Parallel beobachtet Sublime einen als DOUBLOON DREDGER geführten Akteur, der Notion-Konten missbraucht, um Zielpersonen zur Ansicht einer PDF einzuladen. Der darin enthaltene Link führt auf eine EvilTokens-Seite zum Abfischen von Gerätecodes. “Sie missbrauchen Notion, um Zugang zu einem legitimen E-Mail-Absender, zu reputablen Infrastrukturen und zu einem Ort für das Hosten einer bösartigen PDF zu erhalten”, erklärt Sublime. Ein PDF-Baukasten füge zwei bis drei sich überlappende Links ein, um Abwehrwerkzeuge zu umgehen und die Lebensdauer einzelner Dokumente durch redundante Infrastruktur zu verlängern. Die Landeseite nutze eine JavaScript-Verschleierung ähnlich jüngerer Tycoon-2FA-Kampagnen. Mit geringer Zuversicht wird vermutet, dass DOUBLOON DREDGER Zugang zu EvilTokens und Tycoon 2FA gekauft hat und eigenes JavaScript als erste Stufe davorschaltet; als Motiv gilt finanzieller Gewinn.
“EvilTokens steht für eine strukturelle Verschiebung im PhaaS-Markt. Frühere Plattformen kommerzialisierten das Vorderende des Angriffs: den Köder, die Landeseite, das Abgreifen der Zugangsdaten”, sagt Flare-Forscher Assaf Morag. “EvilTokens kommerzialisiert, was danach kommt.” Durch automatisierte Postfachanalyse, das Kartieren relevanter Ansprechpartner und KI-generierte Betrugsnachrichten entfalle die Hürde zwischen einem gestohlenen Token und einem erfolgreichen finanziellen Schaden — BEC-Handwerk liefere die Plattform als Funktion mit.