Thought Leadership
Angreifer generieren gefälschte Anmeldeseiten mittels Blob-URLs direkt im Arbeitsspeicher der Opfer. Der Missbrauch vertrauenswürdiger Microsoft-Dienste hebelt klassische Filter aus.
Sicherheitsforscher von Barracuda Networks haben eine Phishing-Kampagne analysiert, bei der keine herkömmlichen Phishing-Websites mehr zum Einsatz kommen. Stattdessen erzeugen die Angreifer gefälschte Anmeldeseiten mithilfe sogenannter Blob-URLs direkt im Browser der Betroffenen. Da diese temporären Adressen ausschließlich lokal im Arbeitsspeicher existieren und nicht auf einer externen Webseite gehostet werden, laufen klassische URL-Sperrlisten ins Leere. Zur Täuschung nutzen die Kriminellen vertrauenswürdige Microsoft-Infrastrukturen wie Microsoft Teams oder reguläre Login-Domains als Umleitungspfade. Ergänzt wird die Masche durch harmlose Kalendereinladungen im Anhang der E-Mails, die zusätzlich Vertrauen schaffen.
Gesteuerter Browser-Workflow und empfohlene Abwehr
Sobald die Phishing-Seite im Browser geladen ist, übernimmt ein registrierter Service-Worker im Hintergrund gemeinsam mit einem isolierten iFrame die Steuerung der Interaktionen. Über interne Browser-Mechanismen empfängt der Workflow dynamische Anweisungen von den Backend-Servern der Angreifer, was Echtzeit-Anpassungen ermöglicht. Um sich gegen diese serverlosen Angriffe zu schützen, empfehlen die Experten eine Abkehr von reinem Domain-Blocking. Stattdessen sollten Unternehmen OAuth-Freigaben und ungewöhnliche Blob-URL-Aktivitäten gezielt überwachen, den gesamten Klickpfad von E-Mails analysieren sowie phishing-resistente Authentifizierungsmethoden wie FIDO2 und Passkeys etablieren.
„Diese Kampagne zeigt, wie sich Phishing über gefälschte Websites und verdächtige Domains hinaus weiterentwickelt und dabei viele der Indikatoren beseitigt, auf die sich IT-Sicherheitsteams bisher bei der Erkennung verlassen haben.“
Ashitosh Deshnur, Associate Threat Analyst bei Barracuda
(Barracuda/red)
