Mit Schwarmintelligenz und KI gegen neue Bedrohungen Phishing-Attacken mit bit.ly-Links

Die E-Mail-Security-Experten von NoSpamProxy warnen vor einer aktuellen Welle an Phishing-Angriffen unter Verwendung von bit.ly-Links. Aufmerksam wurde Net at Work auf die Angriffswelle durch das kürzlich gestartete Heimdall-Projekt, das Künstliche Intelligenz und Schwarmintelligenz nutzt, um kurzfristig neue Bedrohungslagen zu identifizieren.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Mimecast Germany GmbH

Net at Work GmbH

In den letzten Tagen konnten die Security-Experten von Net at Work, Hersteller der modularen Secure-Mail-Gateway-Lösung NoSpamProxy, ein deutlich erhöhtes Aufkommen an Phishing-Attacken verzeichnen, die den bekannten URL-Shortener-Dienst bit.ly nutzen. Hierbei verwenden die Angreifer das bekannte Muster des „Hallo-Spams“. Die betreffende E-Mail enthält dabei nur eine sehr kurze Nachricht und genau einen Phishing-Link wie in den aktuellen Beispielen in der Bilderstrecke zu sehen ist.

Bildergalerie

Typischerweise sieht man bei diesen E-Mails im Body ein Emoji gefolgt von einem sehr kurzen Text und einem bit.ly-Link. In durch Heimdall gesammelte Daten lässt sich ein deutlich erhöhtes Aufkommen von bit.ly-Links erkennen (siehe Grafik in der Bilderstrecke). Der Graph zeigt die Anzahl an Sichtungen von bit.ly-Links (pro Stunde) in Heimdall – für den 15.9.2020 wären das knapp 20.000 URLs. Die Annahme ist, dass ein Großteil des zusätzlichen Volumens auf Phishing zurückzuführen ist.

Diese Angriffe bergen ein hohes Gefahrenpotential und alle Organisationen sind aufgefordert, entsprechende Schutzmaßnahmen zu ergreifen. Erschwert werden diese dadurch, dass die Angreifer in den vergangenen Wochen dazugelernt haben. Während bei Phishing-Angriffen in den letzten Monaten überwiegend unbekanntere URL-Shortener-Dienste oder Maschinen-generierte Blogspot-Seiten verwendet wurden, die einfach als bösartig zu erkennen waren, werden aktuell bit.ly-URLs eingesetzt, die sich häufig auch in legitimer E-Mail-Kommunikation finden. Ergeben sich sonst keine anderen verdächtigen Merkmale, stellt sich die Frage, ob diese E-Mails abzuweisen sind.

Zumindest temporär empfehlen die Experten von Net at Work eine strengere Behandlung solcher E-Mails. In modernen Mail-Security-Lösungen können E-Mails, die bit.ly-Links enthalten, über entsprechende Inbound-Regeln herausgefiltert und abgewiesen werden. In den Net at Work aktuell vorliegenden Daten ist zu erkennen, dass die Angriffe hauptsächlich von „outlook.com“- oder „hotmail.com“-Adressen versendet werden. Eine Kombination dieser Merkmale lässt ein trennschärferes Vorgehen zu, um ggf. die False-Positive-Rate zu senken.

„Dank Schwarmintelligenz und KI-basierter Analyseverfahren erkennen wir neue Angriffswellen früher und genauer. Gerne stellen wir diese Informationen einer breiten Öffentlichkeit zur Verfügung. Unsere Kunden, die die Nutzung von Heimdall aktiviert haben, profitieren hier automatisch durch stets aktuelle Einstellungen“, sagt Stefan Cink, Business Unit Manager NoSpamProxy und E-Mail-Sicherheitsexperte bei Net at Work.

Das Projekt Heimdall ist seit Version 13.0 von NoSpamProxy als Vorschau verfügbar und wird ab Version 14 zum Standardprodukt gehören. Seit Dezember 2019 läuft das Beta-Programm, zu dem Kunden sich noch registrieren können.

(ID:46892369)