Bekannte Arbeitstools werden zur Tarnung für Cyberangriffe

Cyberkriminelle nutzen zunehmend vertraute Anwendungen aus dem Arbeitsalltag, um Schadsoftware und Phishing-Angriffe glaubwürdig erscheinen zu lassen.

Eine Analyse von Kaspersky zeigt, dass weltweit innerhalb eines Jahres knapp 4,8 Millionen Angriffsversuche registriert wurden, bei denen sich schädliche Inhalte als bekannte Kollaborations- und Arbeitsplattformen tarnten.

Zoom besonders häufig im Visier

Die meisten dieser Angriffe bezogen sich auf den Videokonferenzdienst Zoom. Kaspersky registrierte 2.658.283 Angriffsversuche, bei denen der Name oder das Erscheinungsbild von Zoom missbraucht wurde.

Auf den weiteren Plätzen folgten Outlook mit 1.546.122 erkannten Versuchen, OneDrive mit 197.030 sowie Microsoft Excel mit 151.948 Angriffen. Microsoft Teams wurde in 111.402 Fällen als Tarnung verwendet.

Die Zahlen machen deutlich, dass Angreifer nicht zwangsläufig auf exotische oder unbekannte Anwendungen setzen. Stattdessen orientieren sie sich an Programmen, die Beschäftigte täglich für Kommunikation, Dokumentenaustausch und Zusammenarbeit verwenden.

Downloader bilden größten Anteil

Bei den erkannten Schadprogrammen entfiel der größte Anteil auf Downloader. Insgesamt wurden 2.733.204 entsprechende Angriffsversuche festgestellt. Diese Schadsoftware kann nach einer erfolgreichen Infektion weitere Programme auf ein Gerät laden und installieren.

Daneben registrierte Kaspersky 989.377 Trojaner. Sie können sich beispielsweise als legitime Dateien oder Anwendungen ausgeben und anschließend Daten stehlen, Aktivitäten überwachen, Fernzugriffe ermöglichen oder zusätzliche Schadsoftware nachladen.

Weitere 341.165 Angriffsversuche standen im Zusammenhang mit Exploits. Dabei versuchen Angreifer, Schwachstellen in Anwendungen oder Betriebssystemen auszunutzen.

Phishing wird immer stärker in den Arbeitskontext eingebettet

Neben Schadsoftware beobachtet Kaspersky auch Phishing-Kampagnen, die sich gezielt an typische Situationen im Berufsalltag anpassen. Dazu gehören beispielsweise Einladungen zu Videokonferenzen, Benachrichtigungen über freigegebene Dokumente oder Hinweise auf Benutzerkonten.

Eine besonders schwer erkennbare Variante nutzt dabei echte Microsoft-Anmeldeseiten. Beim sogenannten Device-Code-Phishing erhalten Opfer einen einmaligen Code und werden dazu gebracht, diesen auf einer legitimen Microsoft-Seite einzugeben.

Im Hintergrund können Angreifer den Autorisierungsprozess für eine von ihnen kontrollierte Anwendung gestartet haben. Wird die Anmeldung erfolgreich abgeschlossen, kann dadurch eine Anwendung des Angreifers Zugriff auf bestimmte Unternehmensdaten erhalten. Je nach Berechtigungen können darunter beispielsweise E-Mails, OneDrive-Dateien oder Nachrichten aus Microsoft Teams fallen. Die Methode zeigt, warum allein die Kontrolle einer Webadresse nicht immer genügt. Die verwendete Microsoft-Anmeldeseite kann tatsächlich legitim sein, während der eigentliche Angriff über den zuvor initiierten Autorisierungsprozess erfolgt.

Gefälschte Recruiting-E-Mails setzen auf glaubwürdige Absender

Auch Bewerbungs- und Recruiting-Prozesse werden für Phishing missbraucht. In einer von Kaspersky beobachteten Kampagne erhielten Empfänger vermeintliche Einladungen des Google-Recruiting-Teams.

Die Nachrichten vermittelten den Eindruck, das berufliche Profil des Empfängers sei für eine mögliche Position interessant. Über einen Link sollte anschließend ein Termin für ein Gespräch vereinbart werden. Besonders tückisch war dabei die technische Gestaltung: Die E-Mails wurden über Google AppSheet und eine echte AppSheet-Adresse versendet. Der darin enthaltene Link führte jedoch zu einer gefälschten Webseite, auf der persönliche Daten und Zugangsinformationen abgegriffen werden sollten. Solche Nachrichten können gerade in Phasen mit verstärkten Recruiting-Aktivitäten besonders glaubwürdig wirken.

Evgeny Kuskov, Lead Security Researcher bei Kaspersky, sieht genau darin eine wesentliche Gefahr. „Cyberkriminelle kennen diesen Kontext und imitieren genau die Tools, denen Menschen während ihres Arbeitsalltags begegnen“, erklärt Kuskov. Entscheidend sei daher nicht unbedingt, ob eine Nachricht offensichtlich verdächtig aussieht. Problematischer können Mitteilungen sein, die sich nahtlos in den normalen Arbeitsablauf einfügen und deshalb ohne weitere Prüfung geöffnet werden.

Unternehmen müssen technische und organisatorische Maßnahmen kombinieren

Um das Risiko solcher Angriffe zu reduzieren, sollten Unternehmen ihre Beschäftigten regelmäßig für aktuelle Phishing-Methoden sensibilisieren. Dazu gehört auch, typische Angriffssituationen aus dem beruflichen Alltag zu trainieren.

Bei Einladungen, Dokumentenfreigaben und Kontobenachrichtigungen sollten Absender und Linkziele sorgfältig kontrolliert werden. Auch geringfügige Abweichungen bei Domainnamen können ein Warnsignal sein.

Software und Updates sollten ausschließlich aus offiziellen Quellen oder über vom Unternehmen freigegebene Systeme bezogen werden. Bei Dokumenten, die unerwartet zur Aktivierung von Makros, zur Deaktivierung von Sicherheitsfunktionen oder zur Installation zusätzlicher Software auffordern, ist besondere Vorsicht angebracht.

Für geschäftliche Konten empfiehlt sich außerdem die Kombination aus starken, individuellen Passwörtern und Mehr-Faktor-Authentifizierung. Ungewöhnliche Zahlungsaufforderungen sowie unerwartete Zugriffs- oder Freigabeanfragen sollten über einen zweiten Kommunikationsweg überprüft werden.

Cyberangriffe werden zunehmend an alltägliche Arbeitsprozesse angepasst. Videokonferenzen, Dokumentenfreigaben, Bewerbungen und Kontobenachrichtigungen bieten Angreifern zahlreiche Möglichkeiten, eine vertraute Situation zu imitieren. Neben technischen Schutzmaßnahmen bleibt deshalb die Aufmerksamkeit der Mitarbeitenden entscheidend. Regelmäßige Schulungen mit realistischen Beispielen können dabei helfen, Phishing und manipulierte Benachrichtigungen frühzeitig zu erkennen.

(red/Kaspersky)