Die Angreifer hinter Spring Ring zeigen laut Sala erhebliche Hartnäckigkeit: Sie versuchen es mehrfach und hinterlassen sogar Sprachnachrichten, um mit den Zielpersonen in Kontakt zu kommen. Kommt ein Gespräch zustande, dauert ein erfolgreicher Vishing-Anruf zwischen 10 und 15 Minuten.
Die Forscher beobachteten zwei unterschiedliche Angriffswege. Der erste setzt auf legitime Fernzugriffswerkzeuge: Die Opfer werden überredet, Windows Quick Assist oder Fernwartungssoftware von Drittanbietern zu starten und dem Anrufer damit die Kontrolle über den Rechner zu übergeben. Anschließend führte der Angreifer eine grundlegende Erkundung von Host und Domäne durch und versuchte, einen verschleierten PowerShell-RAT herunterzuladen – was der Endpunktschutz blockierte.
Der zweite Weg war deutlich komplexer und zielte auf die Infrastruktur der Organisation. Die Opfer wurden auf organisations- und nutzerspezifische Dateien in einer Cloud-Infrastruktur gelenkt. Dahinter steckten ausführbare Dateien, die Persistenz einrichteten, eine versteckte Instanz von Microsoft Edge starteten und eine Erweiterung nachlädten.
Danach begannen die Angreifer, das interne Netz auszukundschaften und NTLM-Authentifizierungsverkehr zu erzeugen. Am gefährlichsten war laut Sala ein versuchter NTLM-Relay-Angriff auf Basis von PetitPotam: Der Domain Controller sollte dazu gebracht werden, sich gegenüber einer von den Angreifern kontrollierten Infrastruktur zu authentifizieren – bei Erfolg hätte das bis zur Kompromittierung der gesamten Domäne führen können. Der Managed-Detection-Dienst von Unit 42 unterband den Übernahmeversuch.
Sala verweist auf einen breiteren Trend: Bedrohungsakteure hätten sich zunehmend von klassischen Phishing-Techniken abgewandt und stattdessen vertrauenswürdige Kollaborationswerkzeuge in den Mittelpunkt gestellt. Auch Denis Calderone, Chief Technology Officer der Sicherheitsfirma Suzu Labs, relativiert die Neuheit: “Was Spring Ring hier macht, ist nicht neu, und sie sind damit nicht allein”, sagt er – über das Jahr hinweg habe es Berichte über verschiedene Gruppen gegeben, die diese neuere Taktik einsetzen.
Mika Aalto, Mitgründer und CEO des Risikomanagement-Unternehmens Hoxhunt, sieht den Kern des Angriffs in den IT-Support-Prozessen: “Angreifer denken sich: Warum in ein einzelnes Konto einbrechen, wenn man die Systeme angehen kann, die Identitäten erzeugen und verwalten? Statt ein Fenster einzuschlagen oder einen Zweitschlüssel zu stehlen, nehmen sie sich den Schlüsseldienst vor.” Wer den Arbeitsablauf eines Help Desks kontrolliere, könne sich praktisch einen Hauptschlüssel für viele Systeme im Unternehmen ausstellen.
Sala erwartet, dass Angreifer künftig noch tiefer in SaaS-Ökosysteme vordringen. Diese Plattformen seien “nicht nur ein Vektor für den Erstzugriff, sie enthalten sensible Dokumentation, Arbeitsabläufe und Kommunikationsprotokolle”, mit denen sich eine Angriffskette weitertreiben lasse. Seine Einordnung: “Identität ist heute ein primärer Perimeter, und die Plattformen, auf die wir uns in der täglichen Kommunikation verlassen, werden zur Waffe gemacht.”
Als Gegenmaßnahmen empfiehlt Palo Alto, unaufgeforderte externe Kontaktaufnahmen über Kollaborationsplattformen in der Nutzerschulung vorzuziehen und zugleich auf konsequente Verhaltensüberwachung zu setzen, um identitätsbezogene Anomalien vor der Ausbreitung im Netz zu erkennen. Calderone hält herkömmliche Awareness-Trainings dafür für ungeeignet: Sie seien um “Klick nicht auf den Link” und “Prüfe den Absender” herum gebaut. Nötig seien konkrete Szenarien, damit Beschäftigte misstrauisch werden, wenn ein unbekannter Help-Desk-Mitarbeiter sie plötzlich auffordert, Programme auszuführen.