Anzeige
Staff Threat Intelligence Researcher ordnen die FBI-Warnung vor „Kali365“ ein, eine Kampagne, die sich mittlerweile vom Phishing-Kit zu einer umfassenderen Phishing-as-a-Service-Plattform entwickelt hat. Kali365 war zunächst dadurch aufgefallen, dass sie den OAuth Device Authorization Flow von Microsoft ausnutzte, um Authentifizierungs-Tokens zu stehlen und Multi-Faktor-Authentifizierung zu umgehen.
Nun konnte Arctic Wolf eine erhebliche Ausweitung der Phishing-as-a-Service-(PhaaS)-Kampagne beobachten. Neue Erkenntnisse im Überblick:
Anzeige
- Arctic Wolf-Researcher identifizierten einen Cluster aus 126 Hosts, die dieselbe Phishing-Kit-Infrastruktur bereitstellen. Dies deutet auf eine deutlich größere Kampagne hin als bislang dokumentiert und zeigt die Fähigkeit der Bedrohungsakteure, Domains und Phishing-Köder schnell auszutauschen.
- Die Kampagne imitiert inzwischen zahlreiche bekannte Unternehmen und Services, darunter Outlook, Live, Okta, Xerox DocuShare, GMX, Mail.ru, Yandex Disk, Odnoklassniki sowie AWS-ähnliche Dienste.
- Es wurde eine aktive Account-Takeover-Kampagne gegen MAX Messenger, einer von der russischen Regierung unterstützte Messaging-Plattform (vergleichbar mit dem populären chinesischen Dienst WeChat), entdeckt. Opfer werden über gefälschte Seiten zur Preisverifizierung dazu verleitet, Telefonnummern, SMS-Codes und 2FA-Zugangsdaten preiszugeben.
- Das Phishing-Kit für MAX Messenger exfiltriert Daten der Angriffsopfer über Telegram-Bots in Echtzeit. Dies verdeutlicht die fortschreitende Konvergenz von Phishing-as-a-Service-Operationen und Telegram-basierten Cybercrime-Ökosystemen.
- Die Erkenntnisse legen nahe, dass sich der Betreiber von einem einzelnen Phishing-Kit zu einer umfassenderen Phishing-as-a-Service-Plattform entwickelt hat, die sowohl Unternehmens- als auch Privatnutzerinnen und -nutzer in verschiedenen Regionen gezielt angreifen kann.
Über Arctic Wolf Arctic Wolf ist ein weltweiter Marktführer im Bereich Security Operations und bietet die erste cloudnative Security-Operations-Plattform zur Abwehr von Cyber-Risiken. Basierend auf Threat Telemetry, die Endpunkt-, Netzwerk- und Cloud-Quellen umfasst, analysiert die Arctic Wolf® Security Operations Cloud weltweit mehr als 1,6 Billionen Security Events pro Woche. Sie liefert unternehmenskritische Erkenntnisse zu nahezu allen Security Use Cases und optimiert die heterogenen Sicherheitslösungen der Kunden. Die Arctic Wolf Plattform ist bei mehr als 2.000 Kunden weltweit im Einsatz. Sie bietet automatisierte Threat Detection und Response und ermöglicht es Unternehmen jeder Größe, auf Knopfdruck erstklassige Security Operations einzurichten.
Passende Artikel zum Thema