Neue Tarntechniken in Phishing-Kampagnen Wie Angreifer mit Cloaking Phishing-Erkennung aushebeln

Phishing-Seiten setzen zunehmend auf Cloaking, um Sicherheitssysteme gezielt zu täuschen. Angreifer tarnen ihre bösartigen Inhalte vor Scannern und Forschern, während Opfer die manipulierte Version sehen. Wir zeigen die wichtigsten Techniken und wie Unternehmen wirksam reagieren können.

Phishing bleibt eine der beliebtesten und wirksamsten Methoden von Cyberkriminellen. Obwohl sich Sicherheitstechnologien stetig weiterentwickeln, gelingt es Angreifern immer wieder, Schritt zu halten. Sie passen ihre Taktiken an und nutzen technische Raffinessen, um Erkennungssysteme zu umgehen. Eine besonders ausgeklügelte Methode nennt sich Cloaking. Dabei passt eine Phishing-Website ihren Inhalt oder ihr Verhalte je nach Besucher dynamisch an – mit dem Ziel, Sicherheitssysteme zu täuschen, während reguläre Nutzer die manipulierte, schädliche Version der Website zu sehen bekommen.

Cloaking erschwert es damit Sicherheitssystemen und automatischen Erkennungstools erheblich, Phishing-Websites zu identifizieren. Durch das Filtern des Datenverkehrs auf der Grundlage von Faktoren wie IP-Adresse, User-Agent , Geolocation oder Browser-Fingerprint können Angreifer selektiv bösartige Inhalte für ihre Opfer anzeigen, während sie zeitgleich Sicherheitsexperten und automatischen Scannern gutartige Inhalte vortäuschen.

Phishing-Prävention

Die Tricks der Hacker beim Phishing-Betrug

Die technischen Mechanismen des Cloaking beim Phishing

Bei Phishing-Angriffen wird Cloaking gezielt eingesetzt, um bösartige Websites vor Sicherheitstools harmlos oder unauffällig wirken zu lassen, während sie für die eigentlichen Opfer in vollem Umfang funktionsfähig bleiben. Cyberkriminelle nutzen dabei verschiedene Techniken, um diesen Täuschungseffekt zu erzielen:

1. IP-basierte Umleitung

Bei dieser Methode analysieren Angreifer die IP-Adresse der Website-Besucher, um zu entscheiden, ob es sich um ein potenzielles Opfer oder um eine sicherheitsrelevante Quelle handelt – etwa einen Forscher, ein Sicherheitstool oder ein automatisiertes Scansystem. Diese Methode funktioniert wie folgt:

• Gezieltes „Whitelisting“ von Benutzer: Phishing-Websites stellen bösartige Inhalte nur Nutzern zur Verfügung, deren IP-Adressen in bestimmte geografische Bereiche fallen oder die zu bestimmten Organisationen gehören.

• Schwarze Listen von Sicherheitsfirmen und Bots: Angreifer pflegen umfangreiche Listen mit IP-Bereichen, die bekannten Cybersicherheitsunternehmen, Threat-Intelligence-Plattformen oder automatisierten Scannern zugeordnet sind. Zugriffe aus diesen Quellen werden erkannt und umgeleitet – etwa auf eine harmlose Standardseite oder eine Fehlerseite - um so eine Analyse oder Entdeckung der Phishing-Seite zu verhindern.

Ein Beispiel für eine IP-basierte Umleitung war die Domain amelinotresante.info, die Ende November 2024 beobachtet wurde. Die Website gab sich zum Zweck der Datenerfassung als ameli.fr aus, das offizielle Portal des französischen Krankenversicherungssystems. Die Website zeigte eine Fehlerseite (rechtes Bild) an, wenn sie von einem IP-Bereich außerhalb Frankreichs besucht wurde, und die Phishing-Website (linkes Bild), wenn sie innerhalb Frankreichs angewählt wurde.

Sicherheitskultur als Antwort

So wehren Unternehmen sich gegen KI-gestützte Phishing-Angriffe

2. User-Agent und Browser-Fingerprinting

Viele Phishing-Kampagnen setzen auch auf sogenannte User-Agent-Filter, um ihre Inhalte gezielt an den verwendeten Browser oder das jeweilige Gerät anzupassen. Mit dieser Technik können Angreifer Sicherheits-Crawler erkennen, die sich auf veraltete oder leicht identifizierbare User-Agent-Zeichenfolgen verlassen, und so sicherstellen, dass ihre Phishing-Websites unentdeckt bleiben.

Die eigentlichen Opfer hingegen – Nutzer mit weit verbreiteten Browsern wie Chrome, Edge oder Safari – sehen die manipulierten Inhalte in voller Funktionalität. Gleichzeitig werden Zugriffe von Headless-Browsern blockiert, wie sie in der automatisierten Phishing-Erkennung häufig zum Einsatz kommen.

Aktuelle Untersuchungen zeigen, dass diese Methode besonders häufig im Zusammenhang mit Paketversand-Betrug eingesetzt wird – vor allem in Form von Phishing-SMS. Durch die Analyse des User-Agent kann beispielsweise erkannt werden, ob der Nutzer ein mobiles Endgerät verwendet. Diese Information nutzen Angreifer, um gezielt nur Smartphone-Nutzern die gefälschte Website anzuzeigen, während andere Geräte auf harmlose Inhalte umgeleitet werden.

Ein Beispiel für diese Tarntechnik zeigt die nebenstehende Phishing-Kampagne, die den Paketdienstes DHL imitiert. Wenn die Website über einen mobilen Browser abgerufen wird, wird die Phishing-Website angezeigt, andernfalls die Fehlerseite.

Phishing trotz Zwei-Faktor-Authentifizierung

Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

3. JavaScript-basierte Umgebungstests

Einige Phishing-Websites setzen zudem auf JavaScript-basierte Prüfmechanismen, um die Umgebung des Users zu analysieren, bevor sie schädliche Inhalte anzeigen. Dabei wird die Browserumgebung anhand technischer Merkmale wie Bildschirmauflösung, Gerätetyp oder User Interactions überprüft. Fällt die Prüfung der Umgebung aus dem Rahmen – etwa bei ungewöhnlichen Auflösungen oder fehlender Nutzeraktivität – bleibt die Seite leer oder zeigt harmlose Inhalte an, um einer Entdeckung zu entgehen.

Zusätzlich werden Mausbewegungen und Klickverhalten geprüft. Wird keine Interaktion festgestellt – wie es bei automatisierten Sicherheitsscannern oft der Fall ist – halten die Seiten ihre bösartigen Inhalte zurück. Darüber hinaus können Angreifer Zeitzonen und Spracheinstellungen auslesen, um Inhalte gezielt an den Standort des Opfers anzupassen. So lässt sich beispielsweise der Zugriffe aus nicht relevanten oder verdächtigen Regionen blockieren.

4. CAPTCHA und Challenge-Response-Mechanismen

Eine weitere Technik, die von Phishing-Angreifern häufig eingesetzt wird, ist die Verwendung sogenannter CAPTCHA -Tests, um zwischen automatisierten Scannern und echten menschlichen Besuchern zu unterscheiden. Dieser Ansatz erfüllt zwei zentrale Zwecke:

• 1. Blocken vor automatisierten Sicherheits-Scannern: Viele automatisierte Systeme, die Phishing-Websites erkennen sollen, können CAPTCHAs nicht lösen. Durch den vorgeschalteten Test bleiben die eigentlichen Inhalte für solche Tools verborgen und eine Entdeckung wird verhindert.

• 2. Verifikation menschlicher Interaktion: Wenn ein Besucher das CAPTCHA löst, wertet die Website dies als Hinweis auf einen echten Nutzer. Nur dann werden die bösartigen Inhalte an Nutzer ausgespielt – automatisierte Tools hingegen sehen lediglich die harmlose Seite.

Voice Cloning trifft Voice Phishing

Hacker vhishen nicht mehr im Trüben

Diese Technik stellt sicher, dass Phishing-Inhalte gezielt nur echten Nutzern angezeigt werden, wodurch das Risiko einer Erkennung durch Sicherheitstools oder automatisierte Schutzmechanismen deutlich sinkt. Gleichzeitig erhöht der Einsatz von CAPTCHAs die Glaubwürdigkeit der Phishing-Seite aus Sicht der Opfer: Da CAPTCHAs auf vielen legitimen Websites zum Alltag gehören, wirken sie vertraut und wecken weniger Misstrauen, was die Erfolgswahrscheinlichkeit der Täuschung zusätzlich steigert.

Darüber hinaus ist dieser Ansatz für Angreifer kostengünstig und leicht umzusetzen, da sich gängige CAPTCHA-Dienste unkompliziert in Websites integrieren lassen. So können selbst einfache Phishing-Kits ohne großen Aufwand mit einer CAPTCHA-Tarnung ausgestattet werden. Lösungen wie reCAPTCHA v2 ermöglichen es zudem, Phishing-Seiten praktisch ohne Zusatzkosten abzusichern und ihre Täuschungsversuche noch glaubwürdiger wirken zu lassen.

Aktuelle Untersuchungen zeigen außerdem, dass viele dieser Phishing-Seiten Cloudflare nutzen, um unentdeckt zu bleiben. Eine Studie aus dem Jahr 2023 zeigt den wachsenden Trend: Zwischen Januar und Juni 2023 hat sich die Zahl der mit CAPTCHA getarnten Phishing-Websites nahezu verzehnfacht.

Methoden zur Aufdeckung und Vermeidung von Cloaking-basierten Phishing-Attacken

Da herkömmliche Erkennungsmethoden bei getarnten Phishing-Angriffen oft an ihre Grenzen stoßen, sind Unternehmen gefordert, auf adaptive und mehrschichtige Sicherheitsstrategien zu setzen. Tarntechniken wie Cloaking ermöglichen es Angreifern, klassische Schutzmechanismen gezielt zu umgehen – was die Wirksamkeit rein reaktiver Maßnahmen deutlich einschränkt. Um dieser Bedrohung wirksam zu begegnen, ist es daher entscheidend, fortschrittliche Erkennungstechnologien zu implementieren und gleichzeitig die gesamte Cyberresilienz eines Unternehmens nachhaltig zu stärken.

Gefahr durch generative KI

Warum traditionelle Spamfilter bei KI-gestützten Angriffen versagen

Eine der wirkungsvollsten Maßnahmen zur Abwehr getarnter Phishing-Angriffe ist der Einsatz von fortschrittlichen Threat Intelligence in Kombination mit KI-gestützter Analyse. Moderne Sicherheitsplattformen nutzen maschinelles Lernen und verhaltensbasierte Erkennung, um auch dann Phishing-Versuche zu identifizieren, wenn Angreifer raffinierte Tarnmechanismen wie Cloaking einsetzen. Statt sich lediglich auf statische Momentaufnahmen zu verlassen, analysieren diese Tools, wie sich Domains und Inhalte über einen längeren Zeitraum hinweg verhalten. So lassen sich subtile Abweichungen oder inkonsistente Muster erkennen, die auf eine potenziell bösartige Website hindeuten. KI-gesteuerte Engines sind zudem in der Lage, ungewöhnliche Weiterleitungen oder dynamische Inhaltsveränderungen automatisch zu erkennen – ein typisches Merkmal bei verschleierten Phishing-Seiten. Darüber hinaus können Unternehmen DNS-Filter implementieren, um neu registrierte oder verdächtige Domains proaktiv zu blockieren, da diese häufig im Zusammenhang mit Phishing-Kampagnen stehen.

Auch wenn technische Schutzmaßnahmen eine zentrale Rolle im Unternehmensschutz spielen, bleibt die Sensibilisierung der Mitarbeitenden ein unverzichtbarer Bestandteil der Phishing-Prävention. Unternehmen sollten daher auch gezielt in umfassende Schulungsprogramme investieren, damit Mitarbeitende auch technisch getarnte Phishing-Versuche zuverlässig erkennen können.

Ein weiterer wichtiger Baustein ist die konsequente Einführung von Multi-Faktor-Authentifizierung (MFA). Selbst wenn ein Mitarbeiter auf eine Phishing-Attacke hereinfällt, kann MFA das Risiko eines erfolgreichen Daten- oder Identitätsdiebstahls erheblich reduzieren. Ergänzend empfiehlt es sich, simulierte Phishing-Kampagnen durchzuführen, die gezielt Tarntechniken nachahmen. So lässt sich die organisatorische Resilienz unter realitätsnahen Bedingungen testen und gezielt stärken.

Rezension: „Fighting Phishing“ von Roger A. Grimes

Phishing-Wissen für Einsteiger und Profis

Durch die Kombination von technischen Überwachungsmaßnahmen auf Netzwerkebene mit menschenzentrierten Sicherheitsinitiativen entsteht eine robuste Verteidigung. Ein solcher mehrschichtiger Sicherheitsansatz stellt sicher, dass selbst hochentwickelte, getarnte Angriffe frühzeitig erkannt und wirksam abgewehrt werden, noch bevor sie Schaden anrichten können.

Über den Autor: Mislav Findrik, PhD, leitet das Threat Intelligence Lab von cyan. Dort verantwortet er sowohl die Forschung als auch die Weiterentwicklung der firmeneigenen Threat-Intelligence-Plattform. Sein Fokus liegt auf innovativen Methoden zur Bedrohungs­erkennung, mit dem Ziel, die Wirksamkeit und Präzision der Cybersicherheitslösungen von cyan kontinuierlich zu verbessern.

(ID:50543849)