Cyberkriminelle kapern Cloud-Konten – MFA zusehends unzureichend EvilProxy-Attacken hebeln MFA aus

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Proofpoint GmbH

Proofpoint, Ltd.

Cyberkriminelle tricksen immer öfter die Multi-Faktor-Authentifizierung (MFA) aus, um die Konten von Führungskräften zu übernehmen. Das haben IT-Security-Experten von Proofpoint festgestellt. Vorfälle, bei denen Cyberkriminelle Zugang zu Cloud-Konten hochrangiger Führungskräfte wichtiger Unternehmen erlangen konnten, haben demnach innerhalb der letzten sechs Monate um über 100 Prozent zugenommen.

Der zunehmende Einsatz von MFA hat zur Verbreitung von Phishing-Kits und -Tools geführt, die helfen, diese Sicherheitsebene zu umgehen. Cyberkriminelle setzen zunehmend Adversary-in-the-Middle (AitM)-Phishing-Kits wie EvilProxy ein, um Anmeldedaten und Sitzungs-Cookies in Echtzeit zu stehlen.

Cyberkriminelle nutzen vermehrt Open-Source-Kits mit „Do-it-yourself-Charakter“, um MFA-Phishing-as-a-Service (PhaaS) zu entwickeln. Selbst technisch wenig versierte Kriminelle sind sodann wiederum mittels PhaaS in der Lage, Anmeldedaten für eine Vielzahl von Online-Diensten zu erbeuten (z.B. für Gmail, Microsoft, Dropbox, Facebook und Twitter).

Phase 1: Phishing mit EvilProxy

Die Angriffe der Cyberkriminellen verlaufen in der Regel in drei Phase. In der ersten, der Phishing-Phase, setzten die Kriminellen vor allem drei Techniken ein:

• Markenimitation: Die Absender geben sich als vertrauenswürdige Dienste und Anwendungen aus, z. B. Concur Solutions, DocuSign und Adobe.

• Blockierung von Scans: Die Angreifer nutzten einen Schutz vor Cyber-Security-Scan-Bots, um Sicherheitslösungen die Analyse ihrer bösartigen Websites zu erschweren.

• Mehrstufige Infektionskette: Die Angreifer leiten den Datenverkehr über offen zugängliche legitime Weiterleitungen um, darunter YouTube, gefolgt von zusätzlichen Schritten wie bösartigen Cookies und 404-Weiterleitung.

Phase 2: Konto-Kompromittierung

Die Liste der anvisierten Nutzer umfasst viele hochrangige Ziele, z. B. Geschäftsführer, Unternehmensleiter, C-Level Executives und VPs in führenden Unternehmen. Diese Personen werden von den Kriminellen besonders geschätzt, weil sie potenziell Zugang zu sensiblen Daten und Vermögenswerten haben. Unter den Hunderten von kompromittierten Benutzern waren etwa 39 Prozent Mitarbeiter der obersten Führungsriege („C-Level“), davon 17 Prozent Finanzvorstände und 9 Prozent Präsidenten und CEOs. Die Angreifer zeigen auch Interesse an der unteren Führungsebene und konzentrieren ihre Bemühungen auf Mitarbeiter mit Zugang zu Vermögenswerten oder sensiblen Informationen.

Phase 3: Missbrauch nach Kompromittierung

Sobald die Angreifer sich Zugriff auf das Konto eines Opfers verschafft haben, setzen sie sich in der Cloud-Umgebung des betroffenen Unternehmens fest. Bei mehreren Gelegenheiten nutzten die Angreifer eine native Microsoft-365-Anwendung, um MFA-Manipulationen durchzuführen. Mit Hilfe von „My Sign-Ins“ konnten die Angreifer ihre eigene MFA-Methode hinzufügen und so dauerhaften Zugriff auf kompromittierte Benutzerkonten herstellen.

In diesem Zusammenhang betonen die Proofpoint-Experten: „Anmeldedaten von Mitarbeitern sind bei Cyberkriminellen sehr begehrt: Sie können Zugang zu wertvollen oder sensiblen Unternehmensinformationen und Benutzerkonten bieten. Während Zugangsdaten grundsätzlich eine Vielzahl von Angriffsmöglichkeiten eröffnen, sind nicht alle Zugangsdaten gleich wertvoll. Wie unsere Untersuchungen zeigen, nehmen die Kriminellen oft bestimmte Funktionen oder Abteilungen ins Visier. Dabei müssen sie ihre Methoden und Techniken ständig weiterentwickeln, z.B. um die Multi-Faktor-Authentifizierung auszuhebeln. Entgegen der landläufigen Meinung ist MFA kein Allheilmittel gegen ausgeklügelte Cloud-basierte Angriffe. Einmal eingedrungen, können sich böswillige Akteure unentdeckt in der Umgebung eines Unternehmens verstecken und nach Belieben raffinierte Angriffe durchführen.“

(ID:49670318)