Barracuda Research hat neue Angriffswellen identifiziert, die das Phishing-Kit „Saiga 2FA“ einsetzen. Die Analyse zeigt, wie sich das selten beobachtete Toolkit durch dynamische Konfigurationen und mehrstufige Umgehungstechniken von klassischen Phishing-as-a-Service-Angeboten unterscheidet.
Foto: Barracuda
Klaus Gheri, VP & GM Network Security bei Barracuda
Barracuda Research hat aktuelle Kampagnen untersucht, die das Phishing-Kit „Saiga 2FA“ nutzen. Die Ergebnisse liefern eine detaillierte Analyse der Angriffsabläufe und zeigen, wie sich Phishing-Kits zunehmend von statischen Werkzeugen zu flexibel konfigurierbaren Angriffsplattformen entwickeln.
Bei Saiga 2FA handelt es sich um ein Adversary-in-the-Middle-Phishing-Kit (AitM), das darauf ausgelegt ist, Multi-Faktor-Authentifizierung (MFA) zu umgehen und Sitzungs-Cookies von E-Mail-Nutzern in Unternehmen zu stehlen. Die Angriffe beginnen mit Phishing-Mails, die sich als Nachrichten bekannter Marken ausgeben und schädliche Links oder QR-Codes enthalten. Anschließend werden die Opfer über mehrere Umleitungsstufen auf die eigentliche Phishing-Seite geführt.
Laut Barracuda unterscheidet sich Saiga 2FA in mehreren Punkten von herkömmlichen Phishing-as-a-Service-Kits. Die Phishing-Seiten werden als vollständige Web-Anwendungen bereitgestellt, deren Inhalte dynamisch per JavaScript erzeugt werden. Dadurch wird die Erkennung durch einfache Sicherheits-Scanner erschwert, die lediglich den Quellcode einer Website analysieren.
Zusätzlich steuert eine in die Anwendung integrierte Konfigurationsdatei das Verhalten jeder einzelnen Phishing-Sitzung. So können Angreifer unter anderem das Erscheinungsbild und das Thema einer Kampagne kurzfristig anpassen.
Ein weiteres Merkmal sind „Lorem Ipsum“-Platzhaltertexte in den Metadaten der Phishing-Websites. Diese enthalten keine Hinweise auf Zweck oder Funktion der Seite und sollen keywordbasierte Erkennungssysteme sowie Verfahren zur Erkennung von Markenmissbrauch umgehen.
Die Analyse zeigt zudem, dass Saiga 2FA verschiedene Mechanismen einsetzt, um Sicherheitsanalysen zu erschweren. Erkennt das Kit beispielsweise geöffnete Browser-Entwicklertools, werden Nutzer unmittelbar auf eine harmlose Website wie die Google-Suche umgeleitet.
Darüber hinaus verfügt das Toolkit über einen integrierten FM-Scanner zur Extraktion und Analyse von E-Mail-Inhalten. Kompromittierte Daten können anschließend über den sogenannten Saiga Mailer für weitere Phishing-Kampagnen genutzt werden.
Für die Verwaltung der Angriffe stellt Saiga 2FA ein webbasiertes Dashboard bereit. Dieses ermöglicht die Konfiguration von Domains, Protokollierung und Automatisierung sowie die Nutzung erweiterter Traffic-Filter und eines bedingten Ladens von Inhalten. Nach Einschätzung von Barracuda hebt sich das Kit damit deutlich von einfacheren Phishing-Werkzeugen ab, die primär auf Telegram-basierte Protokollierung setzen.
Klaus Gheri, VP & GM Network Security bei Barracuda, ordnet die Entwicklung als Teil einer neuen Generation von Phishing-Werkzeugen ein:
„Saiga 2FA gehört zu einer Klasse fortschrittlicher Phishing-Kits, die eher einem Boutique-Service als einer vollautomatisierten Plattform gleichen, mit einer Reihe von Konfigurationsoptionen, die während eines Angriffs spontan implementiert werden können. Um solche Angriffe abzuwehren, empfehlen wir Unternehmen, Phishing-resistente Authentifizierungsmethoden wie FIDO2/WebAuthn sowie erweiterte Überwachungsmaßnahmen zu implementieren und strenge URL-Überprüfungsverfahren durchzusetzen, um Anomalien während der Authentifizierungsprozesse zu erkennen. Ein mehrschichtiger Sicherheitsansatz ist für die Abwehr moderner AitM-Phishing-Frameworks unerlässlich.“
