.jpg)
Barracuda-Forscher haben eine E-Mail-Angriffskampagne analysiert, bei der die eigentliche Phishing-Seite nicht auf einem klassischen Webserver liegt. Stattdessen wird sie über eine Blob-URL direkt im Browser des Opfers erzeugt. Die Angreifer nutzen dabei legitime Microsoft-Dienste, Service Worker und weitere Browser-Techniken, um traditionelle Erkennungsmechanismen zu umgehen.
Foto: Barracuda Networks
Klaus Gheri, Vice President und General Manager Network Security bei Barracuda
Phishing-Angriffe basieren üblicherweise auf einer gefälschten Website, auf die potenzielle Opfer über einen Link geleitet werden. Sicherheitslösungen können solche Seiten abrufen, analysieren, kategorisieren und schließlich blockieren. Eine von Barracuda Research untersuchte Kampagne setzt jedoch auf eine andere Architektur: Die Phishing-Seite wird erst lokal im Browser des Opfers erzeugt.
Dafür kommen sogenannte Blob-URLs zum Einsatz. Dabei handelt es sich um temporäre, vom Browser erzeugte Adressen, die auf Inhalte verweisen, die lokal im Arbeitsspeicher statt auf einer Website gespeichert sind. Die Phishing-Seite existiert dadurch ausschließlich innerhalb der jeweiligen Browser-Sitzung. Eine dauerhafte Phishing-URL, die Sicherheitssysteme vorab analysieren oder auf eine Sperrliste setzen könnten, gibt es nicht.
Zusätzlich führt der Angriff seine Opfer über legitime Microsoft-Infrastruktur. Zum Einsatz kommen unter anderem Microsoft OAuth beziehungsweise login.microsoftonline.com und Microsoft Teams. Dadurch kann für Nutzer und automatisierte Scanner der Eindruck entstehen, dass sie sich weiterhin innerhalb vertrauenswürdiger Dienste bewegen.
Der von Barracuda dokumentierte Angriff beginnt mit einer E-Mail im DocuSign-Stil. Die Nachricht enthält zusätzlich eine Kalender-Einladungsdatei. Diese ist selbst nicht Teil der schädlichen Nutzlast und verweist auf einen legitimen Microsoft-OAuth-Endpunkt. Sie soll dazu beitragen, die Nachricht wie gewöhnliche geschäftliche Kommunikation beziehungsweise eine normale Kalendereinladung wirken zu lassen.
Über einen entsprechend präparierten Redirect-Parameter wird das Opfer anschließend zu Microsoft Teams weitergeleitet. Microsoft Teams lädt danach eine externe Ressource. Der Browser wandelt deren Inhalt in eine Blob-URL um und stellt die Phishing-Seite schließlich lokal dar.
Damit unterscheidet sich der Ablauf grundlegend von einer klassischen Phishing-Seite. Die schädlichen Inhalte werden nicht als konventionelle Webseite ausgeliefert. Stattdessen entsteht die Seite innerhalb der laufenden Browser-Sitzung.
Nach dem Laden registriert die Blob-basierte Phishing-Seite einen Service Worker. Dabei handelt es sich um eine Browser-Komponente, die im Hintergrund unter anderem Netzwerkanfragen und das Verhalten einer Seite verwalten kann. Teile des Workflows werden zusätzlich innerhalb eines Sandbox-basierten iFrames ausgeführt. Service Worker und iFrame helfen dabei, Anfragen zu verwalten, die Navigation zu kontrollieren und den Phishing-Ablauf innerhalb der Browser-Sitzung zu koordinieren.
Ein weiterer Unterschied zu statischen Phishing-Seiten liegt in der Steuerung des Angriffs. Die Phishing-Seite erhält über Browser-Messaging-Mechanismen Anweisungen von einer Backend-Infrastruktur. Ziele und Verhalten müssen dadurch nicht über fest programmierte Weiterleitungen vorgegeben sein, sondern können in Echtzeit verändert werden.
Die Analyse der versteckten Command-and-Control-Konfiguration zeigte Barracuda zufolge zudem, dass es sich nicht lediglich um eine einzelne Phishing-Seite handelt. Die Infrastruktur ist Teil einer verwalteten Phishing-Plattform, die zentral betrieben, aktualisiert und über mehrere Opfer hinweg gesteuert werden kann.
Die Kombination der einzelnen Elemente erschwert die Erkennung: Eine dauerhaft erreichbare Phishing-Seite fehlt, die sichtbare Navigation führt über legitime Microsoft-Dienste und der eigentliche Phishing-Ablauf wird innerhalb des Browsers aufgebaut und dynamisch kontrolliert.
„Diese Kampagne zeigt, wie sich Phishing über gefälschte Websites und verdächtige Domains hinaus weiterentwickelt und dabei viele der Indikatoren beseitigt, auf die sich IT-Sicherheitsteams bisher bei der Erkennung verlassen haben“,
sagt Klaus Gheri, Vice President und General Manager Network Security bei Barracuda.
„Unternehmen sollten sich deshalb darauf fokussieren, böswilliges Verhalten zu identifizieren und identitätsbasierte Kontrollen zu verstärken, anstatt lediglich bekannte Phishing-URLs zu blockieren.“
Aus der Angriffsmethode ergeben sich auch veränderte Anforderungen an die Erkennung. Barracuda empfiehlt unter anderem, OAuth-Autorisierungsprozesse und Weiterleitungsketten auf ungewöhnliche oder unerwartete Ziele zu überwachen. Auch Browser-Aktivitäten im Zusammenhang mit Blob-URLs sollten überprüft werden – insbesondere dann, wenn diese zum Darstellen von Login-Seiten oder für Authentifizierungsprozesse eingesetzt werden.
Darüber hinaus nennt Barracuda die Erkennung verdächtiger Service-Worker-Registrierungen, wenn diese mit extern bezogenen Inhalten verbunden sind. Bei der Multi-Faktor-Authentifizierung empfiehlt das Unternehmen phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel und Passkeys.
Auch die E-Mail-Sicherheit muss den veränderten Angriffspfad berücksichtigen. Sicherheitskontrollen sollten nach Empfehlung der Forscher den vollständigen Klickpfad analysieren, statt sich ausschließlich auf die ursprüngliche URL einer Nachricht zu verlassen. Nutzer sollten zudem für unerwartete Aufforderungen zur Signatur von Dokumenten sensibilisiert werden – auch dann, wenn die verwendeten Links scheinbar auf vertrauenswürdige Microsoft-Infrastruktur führen.
Für Barracuda verlagert sich damit ein Teil der Phishing-Abwehr in Richtung Identitätsschutz, Browser-Sicherheit und verhaltensbasierte Erkennung. Die Herausforderung besteht bei Angriffen dieser Art nicht mehr allein darin, eine bösartige Website zu erkennen. Die Phishing-Seite selbst kann ausschließlich im Browser des jeweiligen Opfers existieren und damit genau jenem klassischen Erkennungsmerkmal entgehen, auf das URL-basierte Schutzmechanismen angewiesen sind.
