Zurück 
Zusammenfassung
Im Juli 2024 verfolgten die Netskope Threat Labs einen 2.000-fachen Anstieg des Traffics auf Phishing-Seiten, die über Microsoft Sway bereitgestellt wurden. Die meisten der untersuchten Seiten zum Abrufen von Anmeldeinformationen verwendeten "Quishing", eine Form des Phishings, bei der QR-Codes verwendet werden, um Benutzer dazu zu verleiten, auf eine bösartige Website zuzugreifen. Die Phishing-Kampagnen zielten auf MS Office-Anmeldeinformationen ab und verwendeten Dokumente, um Benutzer zur Anmeldung zu verleiten. Die Kampagnen richteten sich hauptsächlich an Opfer in Asien und Nordamerika in mehreren Segmenten, angeführt von Technologie, Fertigung und Finanzen.
Angreifer weisen ihre Opfer an, ihre mobilen Geräte zum Scannen des QR-Codes zu verwenden, in der Hoffnung, dass diese mobilen Geräte nicht über die strengen Sicherheitsmaßnahmen verfügen, die normalerweise bei Unternehmen zu finden sind, um einen uneingeschränkten Zugriff auf die Phishing-Website zu gewährleisten. Darüber hinaus verwenden diese QR-Phishing-Kampagnen zwei Techniken aus früheren Beiträgen: die Verwendung von transparentem Phishing und Cloudflare Turnstile. Transparentes Phishing stellt sicher, dass die Opfer auf den genauen Inhalt der legitimen Anmeldeseite zugreifen können, und ermöglicht es ihnen, zusätzliche Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung zu umgehen. In der Zwischenzeit wurde Cloudflare Turnstile verwendet, um die Phishing-Nutzlast vor statischen Inhaltsscannern zu verbergen und so den guten Ruf seiner Domain zu wahren.
Werfen wir einen genaueren Blick auf diese Phishing-Kampagnen:
Microsoft Sway wird missbraucht, um Phishing-Inhalte bereitzustellen
Sway ist eine kostenlose Anwendung innerhalb von Microsoft 365, die Benutzern hilft, Ideen mit einer webbasierten Leinwand zu präsentieren, was bedeutet, dass jeder mit einem Microsoft-Konto Präsentationen kostenlos senden kann. Dieser kostenlose Zugang macht ihn jedoch für Angreifer attraktiv für Missbrauch, wie wir bereits zuvor bei ihrer Neigung zur Nutzung kostenloser Cloud-Anwendungen beobachtet haben.
Durch die Verwendung legitimer Cloud-Anwendungen verleihen Angreifer den Opfern Glaubwürdigkeit und helfen ihnen, den bereitgestellten Inhalten zu vertrauen. Darüber hinaus verwendet ein Opfer sein Microsoft 365-Konto, bei dem es bereits angemeldet ist, wenn es eine Sway-Seite öffnet, was dazu beitragen kann, es ebenfalls von seiner Legitimität zu überzeugen. Sway kann auch entweder über einen Link (URL-Link oder visueller Link) geteilt oder mithilfe eines iFrames in eine Website eingebettet werden.
In den letzten sechs Monaten haben die Netskope Threat Labs wenig bis gar keinen bösartigen Datenverkehr mit Microsoft Sway beobachtet. Im Juli 2024 beobachteten wir jedoch einen 2.000-fachen Anstieg des Datenverkehrs auf einzigartigen Microsoft Sway-Phishing-Seiten. Die von uns untersuchten Seiten zielten auf Microsoft 365-Konten ab.
Es ist wichtig zu beachten, dass Microsoft im Jahr 2023 angekündigt hat, dass benutzerorientierte Microsoft 365-Apps und -Dienste in einer einzigen und konsistenten Domäne (*[.] cloud[.] Microsoft), die Sway enthält (zuvor mit sway[.] microsoft[.] com). Alle Regeln zum vorherigen Verarbeiten des Datenverkehrs zu Microsoft Sway mithilfe des Domänennamens sollten aktualisiert werden, und Benutzer müssen vorsichtig sein, wenn sie auf einer Sway-Seite aufgefordert werden, sich anzumelden. Verwenden Sie das folgende URL-Format als Referenz, um eine Microsoft Sway-Seite schnell zu identifizieren:
https://sway.cloud.microsoft/{16_alphanumeric_string}?ref={sharing_option}
Freigabeoptionen können Link, E-Mail, Twitter usw. sein.
QR-Code-Phishing (Quishing)
Viele der analysierten Phishing-Kampagnen verwendeten QR-Code-Phishing oder "Quishing". Quishing ist eine Form von Phishing, bei der Angreifer URLs in einen QR-Code einbetten, um die Opfer auf eine bösartige Website umzuleiten.
Ein QR-Code (Quick-Response-Code) ist eine Art zweidimensionaler Matrix-Barcode, in dem Daten gespeichert werden können. QR-Codes wurden während der COVID-19-Pandemie im täglichen Leben weit verbreitet. Restaurants begannen, QR-Codes einzusetzen, mit denen Kunden auf Speisekarten zugreifen und Bestellungen aufgeben konnten, anstatt eine Speisekarte von einem Kellner anzufordern. Infolgedessen gewöhnten sich die Menschen daran, QR-Codes zu scannen. Dieses Verhalten wurde dann von Angreifern missbraucht, um ahnungslose Benutzer auf bösartige Webseiten umzuleiten.
Die Verwendung von QR-Codes, um Opfer auf Phishing-Websites umzuleiten, stellt Verteidiger vor einige Herausforderungen. Da die URL in ein Bild eingebettet ist, können E-Mail-Scanner, die nur textbasierte Inhalte scannen können, umgangen werden. Wenn ein Benutzer einen QR-Code erhält, kann er außerdem ein anderes Gerät, z. B. sein Mobiltelefon, verwenden, um den Code zu scannen. Da die Sicherheitsmaßnahmen auf mobilen Geräten, insbesondere auf privaten Mobiltelefonen, in der Regel nicht so streng sind wie auf Laptops und Desktops, sind die Opfer dann oft anfälliger für Missbrauch.
Die analysierten Phishing-Kampagnen scheinen Google Chrome und QR Code Generator PRO zu verwenden, um QR-Codes zu generieren.
Drehkreuz zur Vermeidung statischer Analysen
Einige Quishing-Kampagnen verwenden Cloudflare Turnstile als zusätzliche Schutzschicht gegen statische Website-Scanner. Ähnlich wie bei zuvor bekannt gegebenen Phishing-Kampagnen missbrauchen Angreifer Cloudflare Turnstile so, dass die Phishing-Payload vor statischen Online-URL-Scannern verborgen wird. Diese Technik verhindert, dass die Domain und die URL eine schlechte Domain-Reputation haben, sodass sie nicht von Webfilterdiensten blockiert werden. Zum Zeitpunkt der Erstellung dieses Artikels ist diese Seite bereits abgeschaltet und nicht mehr zugänglich.
Transparentes Phishing zum Sammeln von Benutzeranmeldeinformationen
Nach dem Bestehen des CAPTCHA-Tests von Turnstile verwendet die Microsoft 365-Phishing-Seite eine transparente Phishing-Technik. Die untersuchten Phishing-Websites ähneln unserem vorherigen Beitrag, bei dem der HTML-Code fast identisch mit der legitimen Microsoft 365-Anmeldeseite ist. Ein Unterschied besteht darin, dass alle Microsoft-Anmelde-URLs durch die Phishing-Domain ersetzt werden, wodurch Anmeldeinformationen gesammelt und die Anmeldeinformationen im Namen der Opfer angemeldet werden.
Herkömmliches Phishing sammelt die vom Opfer bereitgestellten Anmeldeinformationen und sendet sie entweder an eine andere kompromittierte Website oder an dieselbe Domain, auf der die Phishing-Website gehostet wird. Anschließend können sie auf eine legitime Website umgeleitet werden, um Verdacht zu vermeiden.