Anzeige

Microsoft Office

Bild: Wachiwit / Shutterstock.com

Sicherheitsexperten von Microsoft hatten im Juni eine neue Angriffstechnik entdeckt, bei der Cyberkriminelle die Basic Authentication-Unterstützung von Microsoft Exchange ausnutzten. Sie konnten dabei zuvor gestohlene Online-Anmeldedaten verwenden und die Multifaktor Authentifizierung (MFA) umgehen. Ein Kommentar von Jelle Wieringa, Security Awareness Advocate bei KnowBe4.

Die Angreifer gingen dabei so vor, dass sie eine E-Mail-Phishing-Kampagne starteten, die auf eine Datei hinwies, die geöffnet werden sollte. Die Datei verweist wiederum auf einen infizierten Link, der die Opfer zu einer gefälschten Office 365-Anmeldeseite führte. Sobald das Opfer dort seine Anmeldedaten angab, wird die Meldung „Datei nicht gefunden“ angezeigt.

Die Angreifer nehmen die gestohlenen Anmeldedaten und versuchen, sich beim Office 365-Konto des Opfers anzumelden. Sollten sie auf Microsofts MFA stoßen, wählen sie sich mit dem Benutzeragenten „BAV2ROPC“ ein, der die Exchange-Basis-Authentifizierung (die normalerweise in POP3/IMAP4-Bedingungen verwendet wird) zulässt und zu einem OAuth-Flow führt. Dieser Prozess umgeht die MFA, denn diese unterstützt keine IMAP4-Anfrage. Microsoft wollte ihre Basic Authentication eigentlich schon im Oktober 2020 abschalten, aber die Pandemie hat das Projekt auf Eis gelegt und auf dieses Jahr verschoben.

Durch Manipulation ans Ziel

Sobald sie in das Postfach des Opfers eingedrungen sind, verwenden die Betrüger eine Reihe von Weiterleitungsregeln für Nachrichten, die Wörter wie „Rechnung“, „Zahlung“ oder „Kontoauszug“ enthalten, und leiten diese an ein vom Betrüger kontrolliertes E-Mail-Konto weiter. Wenn die Betrüger dann in den Besitz dieser E-Mails gelangen, werden sie sich als die betroffene Person ausgeben. Sie wenden dann Social-Engineering-Taktiken an, um die Person oder das Unternehmen, das die Zahlung vornimmt, davon zu überzeugen, die Bankdaten in letzter Minute zu ändern. Durch die Verwendung einer in mehreren Webdiensten gehosteten Infrastruktur konnten die Angreifer ihre BEC-Kampagne verstecken. Sie führten diskrete Aktivitäten für verschiedene IPs und Zeiträume durch, was eine Enttarnung erschwerte.

Fazit

Sich als eine andere Person auszugeben - insbesondere, wenn die Angreifer Zugriff auf die Mailbox dieser Person haben - ist für Unternehmen und die betroffenen Personen nur schwer zu erkennen und abzuwehren. Daher ist es wichtig, diese Art von Angriffen zu stoppen, bevor es soweit kommt. Letztlich lässt sich nur der fehlgeleitete Klick auf die Phishing-E-Mail verhindern. Benutzer müssen in der Lage sein, die roten Flaggen im Schlaf zu erkennen. Durch die Teilnahme an einem Security Awareness Training lernen sie sowohl die Grundlagen einer guten Security Awareness als auch die neuesten Betrugsversuche, Themen und Kampagnen, so dass Mitarbeiter und Unternehmen bei der „nächsten“ Phishing-E-Mail nicht unvorbereitet sind und entsprechend reagieren können.

Jelle Wieringa, Security Awareness Advocate
Jelle Wieringa
Security Awareness Advocate, KnowBe4

Weitere Artikel

Linux

CronRat: Linux-Malware versteckt sich im Kalender

CronRat ist ein neuer Linux-Trojaner, der sich in den geplanten Aufgaben versteckt. Das Ausführungsdatum am 31. Februar ist natürlich ungültig, trotzdem entdecken ihn viele Sicherheitsprogramme nicht.
2022 KI

IT-Security-Trends 2022: KI macht Cyberangriffe gefährlicher

Cyberkriminalität steigt auch 2022 weiter an. Angreifer nutzen dabei konsequent jede Schwachstelle aus. Um ihre Ziele zu erreichen, setzen sie auf Multi-Ransomware-Angriffe und verwenden Künstliche Intelligenz (KI), mit der sie besseren Schadcode herstellen.
Phishing

Phishing-Kampagnen: Webseiten von Sparkasse und Volksbank werden imitiert

Die Security-Experten von Proofpoint haben eine Zunahme von Phishing-Kampagnen registriert, bei denen deutsche Bankkunden ins Visier der Cyberkriminellen geraten.
Geschenkkarten

Achtung: Drei Betrugsmethoden mit Geschenkkarten

Vor der Haupteinkaufszeit zu Weihnachten warnt Malwarebytes vor den Gefahren, die mit Geschenkkarten verbunden sind. Verbraucher müssen vor allem auf drei Betrugsmethoden mit Geschenkkarten achten, um Cyberkriminellen nicht in die Falle zu gehen.
Phishing

Spear-Phishing-Kampagnen mit gefälschten Kundenbeschwerden

Eine Spear-Phishing-Kampagne versendet gefälschte „Kundenbeschwerden“, die einen Link zu einer bösartigen Website enthalten, wie Paul Ducklin von Sophos eigenem IT-Security Blog Naked Security beschreibt.
Weihnachten Hacker

Fröhliche Weihnachten: X-Mas Days are Phishing Days

Weihnachten steht vor der Tür und wie jedes Jahr suchen Millionen Menschen im Internet nach den besten Geschenkangeboten für das große Fest. ThycoticCentrify gibt Tipps, wie sie sich gegen die neuesten Betrugsversuche im Netz wappnen können.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.