Die Mechanik der Kampagne wirkt zunächst gewöhnlich: eine Mail unter falschem Vorwand, ein Klick, eine bösartige Landeseite. Entscheidend ist aber, was zwischen Klick und Landeseite passiert. Statt darauf zu setzen, dass ein Gateway einen schädlichen Link übersieht, liefert die Kampagne den Prüfsystemen genau das, was sie erwarten.
“Wenn ein Verteidiger die Absenderdomain, den eingebetteten Link oder die Zwischenstationen prüft, sieht alles noch sauber aus. Der Datensammler am Ende der Kette ist darauf ausgelegt, abzuwarten, bis diese Prüfung durch ist”, heißt es im Blogbeitrag von KnowBe4. “Die meisten Phishing-Kampagnen betten einen bösartigen Link ein und wetten darauf, dass das Gateway ihn übersieht. Diese hier braucht das nicht. Sie füttert das Gateway mit genau dem, was es erwartet: vertrauenswürdige Google-Domains bei jedem Sprung.”
Besonders aufwendig ist die Endstufe. Das JavaScript der Landeseite baut die Anmeldemaske allein aus der E-Mail-Adresse des Opfers dynamisch zusammen und blendet hinter der Login-Box einen aktuellen Screenshot der Unternehmenswebseite des Opfers ein. Eine mehrsprachige Oberfläche passt die Sitzung an den Standort des Opfers an.
Bei den Ködern legt sich die Kampagne nicht auf ein Motiv fest, sondern deckt ein breites Spektrum geschäftlicher Kontexte ab. Die Forscher sahen angebliche Dokumentenfreigaben, ablaufende Zugangsdaten, Paketzustellungen, Zahlungsbenachrichtigungen, staatliche Leistungen und Sprachnachrichten.
Sind die Zugangsdaten eingegeben, landen sie laut KnowBe4 innerhalb von Sekunden im Telegram-Kanal des Betreibers – zusammen mit weiteren Angaben wie “IP-Adresse, Geolokalisierung, Browser-Kennung und verifizierten MX-Einträgen der Organisation” des Opfers.
Der Aufbau der Phishing-URLs deutet darauf hin, dass die Kampagne gezielt und nicht wahllos vorgeht. “Die E-Mail-Adressen der Opfer sind base64-kodiert und im Hash-Fragment der URL versteckt, das Browser vor dem Absenden einer Anfrage entfernen. Dadurch bleibt es für serverseitige Protokolle und die meisten URL-Scanner unsichtbar und verschleiert den vorab zielgerichteten Charakter der Kampagne”, schreiben die Analysten. Und weiter: “Eine E-Mail-Adresse in der URL nach dem # ist ein Hinweis darauf, dass der Link vorab auf ein Ziel zugeschnitten ist.”
Die Veröffentlichung von KnowBe4 enthält Kompromittierungsindikatoren (IOCs) samt Empfehlungen: die IOCs umgehend auf Ebene von DNS-Filter, Proxy und SIEM blockieren, nach Datenverkehr zur Telegram-Bot-API suchen, für potenziell betroffene Nutzer Passwortzurücksetzungen erzwingen, nach unautorisierten ScreenConnect-Installationen oder -Aktivitäten fahnden und Nutzer über die Technik mit dem URL-Fragment aufklären.