Mobile-Menu

Wie Cyberkriminelle mit Fake-Jobangeboten und RMM-Tools zuschlagen Cyberangriffe auf Bewerber nehmen zu

Quelle: Pressemitteilung 3 min Lesedauer

Anbieter zum Thema

Proofpoint Germany
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Cyberkriminelle gehen gezielt und raffiniert gegen Arbeitssuchende vor: Mit täuschend echten Bewerbungsgesprächen locken sie Opfer auf legitime Remote-Management-Tools (RMM), statt klassischer Malware. Proofpoint zeigt, wie Angreifer LinkedIn und gefälschte Jobangebote nutzen – und wie IT-Experten rechtzeitig warnen können.

Jobsuche kann nicht nur schwierig sein – sondern auch gefährlich. Es gibt vermehrt Cyberkampagnen gegen Arbeitssuchende.(Bild: © Tanya - stock.adobe.com)
Jobsuche kann nicht nur schwierig sein – sondern auch gefährlich. Es gibt vermehrt Cyberkampagnen gegen Arbeitssuchende.
(Bild: © Tanya - stock.adobe.com)

Cyberkriminelle nehmen verstärkt Arbeitssuchende ins Visier. Das haben Forscher des IT-Security-Unternehmens Proofpoint herausgefunden. Die Kampagnen, die die Proofpoint-Spezialisten beobachtet haben, bestätigen gleich zwei Trends bei kriminellen Aktivitäten im Internet: Ein verstärktes Eingehen auf die jeweilige Situation der Opfer und eine raffiniertere Vorgehensweise ohne den Versuch, die Opfer direkt zur Installation von Malware zu verleiten.

Scharf- statt Kanonenschützen

Haben Cyberkriminelle früher meistens mit Kanonen auf Spatzen geschossen und ihre betrügerischen E-Mails ohne Ansehen der Situation der Empfänger verbreitet, richten sie sich heute meistens an spezifische Zielgruppen und haben es dabei gerne auf Gruppen abgesehen, die anfällig oder verletzlich sind. Arbeitssuchende sind hierfür ein gutes Beispiel. Im aktuellen Fall hat Proofpoint mehrere Kampagnen identifiziert, bei denen betrügerische E-Mails mit Einladungen zu vermeintlichen Vorstellungsgesprächen versendet wurden.

In den Kampagnen nutzen die Kriminellen kompromittierte E-Mail-Adressen oder geben sich auf andere Weise als Repräsentanten echter Unternehmen aus. Als Absender wurden für gewöhnlich Namen genutzt, die mit echten Personalvermittlern oder Unternehmensmitarbeitern in Verbindung gebracht werden. Häufig beziehen sich die betrügerischen E-Mails auf Stellen, die von den imitierten bzw. kompromittierten Unternehmen tatsächlich ausgeschrieben wurden.

In mindestens einem Fall nutzten die Cyberkriminellen ein gehacktes LinkedIn-Konto, über das eine Stellenbeschreibung mit einer Gmail-Adresse veröffentlicht wurde. Proofpoint hat diese E-Mail-Adresse in betrügerischen E-Mails beobachtet, die an Personen geschickt wurden, die sich offenbar auf die Stelle beworben hatten. In diesem Fall liegt also ein besonders hohes Maß an Personalisierung bis zur individuellen Ebene vor.

Cyberkriminelle können sich Listen potenzieller Ziele auf verschiedene Weise beschaffen: So erstellen sie gefälschte Stellenausschreibungen, um E-Mail-Adressen zu sammeln, kompromittieren Posteingänge oder soziale Medien von Personalverantwortlichen oder nutzen eine Liste zuvor gestohlener E-Mail-Adressen.

RMM statt direkter Angriff

In den Angriffen auf Arbeitssuchende folgen die Cyberkriminellen einem weiteren wichtigen Trend, indem sie nicht versuchen, die Rechner ihrer Opfer direkt mit Malware zu infizieren. Die E-Mails der beobachteten Kampagnen enthalten angebliche Einladungen zu einem Zoom- oder Teams-Call, um vermeintlich ein Stellenangebot zu besprechen. In Wirklichkeit führen die Links aber zu einem Remote-Management-Tool (RMM) wie SimpleHelp, ScreenConnect oder Atera.

RMM-Software wird in Unternehmen von IT-Administratoren zur legitimen Fernverwaltung des Computer-Bestands eingesetzt. Cyberkriminellen gibt diese Software die gleichen Fähigkeiten wie ein Remote-Access-Trojaner (RAT) und ermöglicht ihnen beispielsweise Daten- oder Finanzdiebstahl und/oder mündet in der Installation von Malware, beispielsweise Ransomware.

Diese Aktivitäten sind Teil einer breiteren Palette von E-Mail-Kampagnen, die RMM- oder Remote-Access-Software (RAS)-Tools verbreiten. RMM-/RAS-Tools sind als initiale Payload sehr beliebt geworden. Anstatt RATs oder Infostealer zu versenden, verwenden Angreifer RMMs, u.a. weil diese im legitimen Datenverkehr weniger auffallen. So können sie Geld oder Informationen stehlen bzw. weitere Malware installieren.

Allgemein werden RMMs von Cyberkriminellen als Teil einer gesamten Angriffskette eingesetzt. Sehr beliebt sind RMM-/RAS-Tools beispielsweise auch bei Angreifern, die für Angriffe Telefonanrufe einsetzen. Bei diesen Angriffen versenden die Angreifer eine E-Mail mit einer Telefonnummer, die entweder im Textkörper oder in einer angehängten PDF-Datei enthalten ist, wobei sie in der Regel Rechnungen als Köder verwenden. Der Empfänger wird aufgefordert, die Telefonnummer anzurufen, falls er die Rechnung naheliegenderweise anfechten will. Die Telefonnummer gehört aber dem Angreifer, der den Empfänger schließlich dazu veranlasst, ein RMM-Tool zu installieren, sobald er ihn am Telefon hat, um die Angriffskette dann mit der Installation von Malware fortzusetzen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Was tun?

Arbeitssuchenden wird geraten, besonders auf die Namen und Absenderdomains der Personen zu achten, die mit ihnen in Kontakt treten, weil diese Identitäten gefälscht sein könnten. Auch wenn sie eine ausführbare Datei erhalten oder auf eine URL klicken sollen, die zu einer solchen führt, sollten die Alarmglocken läuten. Sehr wahrscheinlich handelt es sich um einen Betrugsversuch.

(ID:50500821)

Weiterführende Inhalte