Kalender-Phishing: Wie Angreifer .ics-Dateien für Credential Harvesting missbrauchen

Kriminelle nutzen vertrauenswürdige Kalendereinladungen und .ics-Dateien, um E-Mail-Filter zu umgehen und Zugangsdaten zu stehlen.

Sicherheitsforscher von Barracuda warnen vor einem verstärkten Missbrauch von Kalendereinladungen (.ics-Dateien) als Phishing-Vektor. Da Mitarbeiter E-Mails mit Terminbestätigungen, HR-Mitteilungen oder Schulungserinnerungen im Arbeitsalltag vertrauen, nutzen Angreifer diese Kanäle, um klassische E-Mail-Filter zu umgehen.

Warum Kalender-Phishing so effektiv ist

• Automatische Eintragung: Viele E-Mail-Clients tragen eingegangene .ics-Dateien automatisch in den Kalender ein. Der Termin bleibt im Kalender bestehen, selbst wenn die ursprüngliche E-Mail nachträglich gelöscht oder in Quarantäne verschoben wird.
• Metadata-Missbrauch: Das iCalendar-Format erlaubt HTML-Code, externe Links, Standortangaben und Dateianhänge. Angreifer verstecken Phishing-Links oder QR-Codes direkt in diesen Metadaten, die von herkömmlichen E-Mail-Scannern seltener tiefgreifend analysiert werden.
• Der „Mobile Pivot“: Durch in Terminen eingebettete QR-Codes verleiten Kriminelle Opfer dazu, mit dem Smartphone zu scannen. Das verlagert den Angriff vom überwachten Firmen-Desktop auf ein privates oder weniger geschütztes Mobilgerät.

Ablauf des Angriffs und Identitätsdiebstahl

Eine typische Kampagne startet mit einer unauffälligen E-Mail, die eine .ics-Datei zu angeblichen HR-Richtlinien, Gehaltsabrechnungen oder Pflichtschulungen enthält. Öffnet der Anwender den Termin, sieht er gefälschte Anmeldeaufforderungen. Über Adversary-in-the-Middle-Plattformen (AiTM) greifen die Kriminellen Passwörter sowie Session-Tokens in Echtzeit ab und umgehen so einfache Multi-Faktor-Authentifizierungen.

Schutzmaßnahmen für IT-Sicherheitsteams

• Tiefenanalyse von .ics-Dateien: Kalenderdateien müssen wie aktive Dateianhänge behandelt werden. Sicherheitssysteme sollten HTML-Inhalte rendern, enthaltene URLs prüfen und QR-Codes automatisiert decodieren.
• Vollständige Bereinigung: Bei der Erkennung schädlicher Einladungen müssen sowohl die E-Mail als auch der automatisch erstellte Kalendereintrag aus den Postfächern entfernt werden.
• Phishing-resistente MFA: Der Einsatz von Hardware-Keys (wie FIDO2 oder WebAuthn) verhindert die Übernahme von Sitzungen durch AiTM-Plattformen.

(Barracuda/red)