Thought Leadership
Die Phishing-as-a-Service-Plattform Logokit erstellt inzwischen für jedes Opfer individuell nachgebildete Anmeldeseiten in Echtzeit.
Der Angriff beginnt, sobald ein Opfer einen Phishing-Link anklickt, der seine E-Mail-Adresse bereits in der URL enthält. Eingebetteter Code liest die Adresse aus und nutzt die zugehörige Domain, um das Unternehmen des Opfers zu identifizieren und die Phishing-Seite entsprechend anzupassen. Anstatt auf vorgefertigte Vorlagen zurückzugreifen, ruft Logokit dafür kommerzielle Webdienste auf: Laut Barracuda nutzt das Kit den Dienst Thum.io, um in Echtzeit einen vollständigen Screenshot der echten Unternehmenswebsite als Hintergrund zu erzeugen, sowie Clearbit, Google Favicon, ImageKit und die Microlink-API, um passende Logos und Icons einzubinden.
Dadurch entsteht für jedes Ziel eine einzigartige, im Moment des Aufrufs generierte Seite, die dem tatsächlichen Erscheinungsbild der jeweiligen Unternehmensanmeldung sehr nahekommt. Barracuda beschreibt dies als Wandel von reiner Markenimitation hin zu einer Nachbildung der gesamten Nutzerumgebung. Da keine statischen Vorlagen mehr existieren, wird die automatisierte Erkennung durch Sicherheitssysteme deutlich erschwert.
Datendiebstahl über Telegram statt eigener Infrastruktur
Gibt das Opfer seine Zugangsdaten ein, werden diese direkt an einen Telegram-Bot übermittelt, wodurch die Angreifer auf eine eigene, potenziell auffindbare Backend-Infrastruktur verzichten können. Anschließend wird das Opfer auf die echte Website weitergeleitet und geht häufig davon aus, sich lediglich vertippt zu haben, was die Erkennung des Angriffs zusätzlich erschwert.
Logokit-Kampagnen wurden laut Barracuda bereits in englischer, deutscher, französischer, spanischer, chinesischer und koreanischer Sprache beobachtet, wobei weiterhin auf klassische Vorwände wie ablaufende Passwörter, Zertifikatserneuerungen, Kontosperrungen oder Benachrichtigungen zu Arbeitszeitnachweisen gesetzt wird. Sachin Meti, Threat Analysis Associate bei Barracuda, erklärte dazu:
„Logokit hat sich von einer Markenimitation zu einer Umgebungsimitation in Echtzeit weiterentwickelt. Gleichzeitig benötigen Angreifer weniger Infrastruktur für ihre Angriffe, wodurch diese überzeugender und schwerer zu erkennen sind.“
Sachin Meti, Threat Analysis Associate bei Barracuda
Empfohlene Schutzmaßnahmen
Barracuda empfiehlt Unternehmen einen mehrstufigen Sicherheitsansatz aus automatisierter Bedrohungserkennung, phishing-resistenter Multi-Faktor-Authentifizierung wie FIDO2-Sicherheitsschlüsseln und Passkeys sowie risikobasierten Zugriffskontrollen, die Faktoren wie Gerätevertrauenswürdigkeit, Standort und Nutzerverhalten berücksichtigen. Zusätzlich sollten verdächtige Links in isolierten Remote-Umgebungen geöffnet und automatisiert geprüft werden, bevor sie Nutzergeräte erreichen.
(Barracuda/red)
