Cyberkriminelle nutzen laut einer Analyse des Threat-Intelligence-Teams von KnowBe4 zunehmend Techniken, um NLP-basierte E-Mail-Sicherheitslösungen zu umgehen. Durch das gezielte Einfügen legitimer Inhalte und struktureller Manipulationen sollen schädliche Elemente verschleiert und die Analyse durch Sicherheitsmechanismen erschwert werden.
Foto: KnowBe4
Foto: KnowBe4
Angreifer passen ihre Methoden kontinuierlich an moderne Sicherheitsarchitekturen an. Eine aktuelle Untersuchung von KnowBe4 zeigt, dass dabei gezielt Schwachstellen in cloudbasierten E-Mail-Sicherheitslösungen adressiert werden, die auf Natural Language Processing (NLP) setzen. Im Fokus steht eine Technik, bei der schädliche Inhalte mit harmlosen Elementen kombiniert werden, um die Erkennung zu erschweren.
Für die Analyse wertete das Threat-Intelligence-Team insgesamt 40 Angriffe aus, die von der Plattform KnowBe4 Defend identifiziert wurden. Ziel war es, die Struktur dieser Kampagnen sowie deren potenzielle Wirksamkeit zu verstehen. Die Ergebnisse zeigen, dass Angreifer systematisch legitime Inhalte einbauen und gleichzeitig die Struktur der E-Mails manipulieren.
Die untersuchten Phishing-Mails folgen einem wiederkehrenden Muster: Im oberen Bereich befindet sich der eigentliche schädliche Inhalt, während am Ende der Nachricht ein zusätzlicher Abschnitt mit unauffälligen oder legitimen Elementen angehängt wird. Dazu zählen etwa E-Mail-Signaturen bekannter Organisationen oder Verweise auf legitime Websites.
Besonders häufig wurde die Signatur der Bank of America verwendet, während Links zu „Uber.com“ und „Bofa.com“ zu den am häufigsten eingebundenen legitimen Verweisen gehörten. Diese Inhalte sollen die Gesamtwirkung der E-Mail vertrauenswürdiger erscheinen lassen und gleichzeitig die Analyse durch NLP-Modelle beeinflussen.
Zwischen dem sichtbaren Phishing-Inhalt und dem angehängten Material setzen Angreifer zahlreiche HTML-Zeilenumbrüche ein. Diese erzeugen große Leerflächen, wodurch der untere Teil der Nachricht für Empfänger oft verborgen bleibt. In den untersuchten Fällen lag die durchschnittliche Anzahl der Zeilenumbrüche bei 157, nur in acht Fällen waren es weniger als 100.
Neben der strukturellen Verschleierung erhöhen Angreifer gezielt die Gesamtmenge an Text in den E-Mails. Ziel ist es, NLP-Systeme mit zusätzlichen Daten zu konfrontieren und die Gewichtung schädlicher Inhalte zu verwässern.
Die Analyse zeigt, dass die gutartigen Bestandteile im Durchschnitt zu 62,6 Prozent aus Graymail bestanden, ergänzt durch 31,47 Prozent legitime E-Mail-Verläufe und 5,93 Prozent zufällig generierten Text. Auch bei den Links zeigt sich ein klares Muster: Im Schnitt enthielten die E-Mails 4,68 legitime Links gegenüber nur 1,87 schädlichen.
Diese Verteilung kann dazu führen, dass Sicherheitslösungen die Nachricht als weniger riskant einstufen oder mehr Zeit für die Analyse benötigen. In Einzelfällen besteht laut den Forschern sogar die Möglichkeit, dass E-Mails freigegeben werden, bevor die vollständige Analyse abgeschlossen ist, wenn der Scanprozess zu lange dauert.
In einem der untersuchten Fälle gab sich die E-Mail als Nachricht eines Voicemail-Dienstes aus und forderte den Empfänger auf, einen HTML-Anhang zu öffnen. Der Angriff war Teil einer größeren Kampagne und nutzte polymorphe Elemente: Betreffzeile und Dateiname wurden zufällig variiert, um die Erkennung zu erschweren.
Der angehängte Verschleierungsteil bestand aus einer künstlich verlängerten E-Mail-Kette mit zufälligen Zeichen. Dadurch wurde die Nachricht sowohl inhaltlich als auch strukturell erweitert, was die Analyse zusätzlich belastet.
Ein weiteres Beispiel imitiert eine Nachricht von Adobe, die angeblich vom HR-Team stammt. Der Empfänger wird aufgefordert, einen Link zu Mitarbeiter-Benefits zu öffnen. Im unteren Teil der E-Mail folgt eine scheinbar legitime Uber-Werbung mit mehreren echten Links. Diese Kombination aus schädlichen und legitimen Elementen soll die Glaubwürdigkeit erhöhen und die Erkennung erschweren.
Insgesamt deutet die Analyse darauf hin, dass Angreifer gezielt auf moderne, cloudbasierte Sicherheitslösungen reagieren, insbesondere auf Systeme wie „Integrated Cloud Email Security“ (ICES), die NLP einsetzen. Gleichzeitig zeigen die untersuchten Fälle, dass solche Angriffe nicht zwangsläufig erfolgreich sind – in den analysierten Beispielen wurden die E-Mails als Phishing erkannt.
Die Methode kombiniert mehrere bekannte Techniken, darunter polymorphe Inhalte, Markenimitation, kompromittierte Konten sowie umfangreiche Textverschleierung. Daraus ergibt sich laut den Forschern die Notwendigkeit für Sicherheitslösungen, diese Faktoren im Zusammenhang zu bewerten, um auch komplexe und neuartige Angriffsmuster zuverlässig zu erkennen.
