Barracuda beschreibt den Ablauf als Kombination aus klassischem Köder und technisch neuartiger Auslieferung. Wie bei gewöhnlichem Phishing muss das Opfer zu einer externen Ressource gelenkt werden – doch diese Lenkung verläuft in der analysierten Kampagne über vertrauenswürdige Prozesse und ist dadurch verschleiert.
Am Anfang steht eine E-Mail im Docusign-Design mit angehängter Kalendereinladung. Die Einladung hat mit dem eigentlichen Angriff nichts zu tun, verleiht der Nachricht aber die Anmutung legitimer Geschäftspost. Ein gezielt gestalteter Redirect führt die Empfänger zu Microsoft Teams, das wiederum eine extern gehostete Ressource auf cdn.bloom[.]io nachlädt. Der Browser wandelt diese Ressource in eine Blob-URL um – und erst daraus entsteht die Phishing-Seite, die nirgendwo sonst als im Speicher des Browsers existiert.
Dass der Vorgang in Microsoft-Diensten verpackt ist, verleiht ihm nach Darstellung der Forscher alle Merkmale von Vertrauenswürdigkeit. Gegenüber herkömmlichen, statisch gehosteten Phishing-Seiten gewinnen die Angreifer damit deutlich an Tarnung: Es gibt keine verdächtige Domain, die auf einer Sperrliste landen könnte, und keine Seite, die ein Scanner im Vorfeld abrufen und bewerten könnte.
Die Analyse zeigt zudem, dass hinter der im Browser aufgebauten Seite mehr steckt als eine improvisierte Einzelkonstruktion. Service Worker, iframes und Backend-Steuerungen regeln den weiteren Phishing-Ablauf und die Navigation der Nutzer. Eine verborgene Command-and-Control-Konfiguration belegt laut Barracuda, dass die automatisch erzeugte Seite Teil einer verwalteten Plattform ist, die sich zentral betreiben, aktualisieren und über mehrere Opfer hinweg gleichzeitig steuern lässt. Neben besserer Tarnung gewinnen die Angreifer damit auch an Flexibilität.
„Diese Kampagne zeigt, wie sich Phishing über gefälschte Webseiten und verdächtige Domains hinaus weiterentwickelt und dabei viele der Indikatoren beseitigt, auf die Sicherheitsteams bei der Erkennung traditionell gesetzt haben“, schreiben die Forscher. Kurz gesagt: Es gibt keine Phishing-Seite mehr, die man blockieren könnte.
Entsprechend verschiebt sich aus Sicht von Barracuda der Schwerpunkt der Abwehr. Künftige Erkennung müsse stärker auf Identitätsschutz, Browsersicherheit und verhaltensbasierte Analyse setzen, da kein physisch vorhandenes Objekt mehr existiert, das einen Alarm auslösen könnte.
Konkret nennen die Forscher drei Ansatzpunkte: eine genauere Beobachtung von Browseraktivitäten, an denen Blob-URLs beteiligt sind; die Überwachung von OAuth-Autorisierungsabläufen auf unerwartete Ziele; sowie E-Mail-Sicherheitsmechanismen, die den vollständigen Klickpfad auswerten, statt sich allein auf die ursprünglich enthaltene URL zu verlassen.