Clouddflare hat eine neue Analyse seines Threat-Intel-Teams Cloudforce One veröffentlicht. Der Bericht zeigt, wie Angreifer die Link-Wrapping-Funktion von Proofpoint missbrauchen, um unbemerkt auf verschiedene Phishing-Seiten von Microsoft-Office-365 umzuleiten.
Phishing war im vergangenen Jahr erneut die häufigste Ursache für Sicherheitsverletzungen und Identitätsdiebstahl. Diese Technik ist besonders gefährlich und effektiv, da Opfer viel eher auf eine vermeintlich “vertrauenswürdige” URL klicken – insbesondere, wenn diese über einen bekannten Sicherheitsanbieter wie Proofpoint kommen.
Wichtige Erkenntnisse des Reports:
- Direktes Wrapping über kompromittierte Konten: Angreifer kompromittieren E-Mail-Konten innerhalb von Proofpoint-geschützten Organisationen, um Phishing-E-Mails mit bösartigen Links zu versenden. Proofpoint schreibt die Links automatisch um, sodass sie den Anschein legitimer Kommunikation erwecken.
- Mehrstufiger Redirect-Missbrauch: Angreifer verkürzen zunächst bösartige Links mit einem öffentlichen URL-Shortener, bevor sie diese über Proofpoint-geschützte Konten verschicken. Proofpoint versieht dann die verkürzten Links mit einem eigenen Wrapper – es entsteht eine Umleitungskette, die das eigentliche Ziel verbirgt.
Die von Cloudforce One identifizierte Methode zeigt, wie geschickt Cyberkriminelle bekannte Sicherheitsmechanismen ausnutzen, um Vertrauen zu erwecken und Schutzmaßnahmen zu umgehen. Der vollständige Bericht enthält konkrete Beispiele und eine detaillierte Analyse der Auswirkungen.
Info: Der gesamten Report mit weiteren Informationen findet sich hier:
#Cloudflare
Stellungnahme von Proofpoint zu Missbrauch von Link-Wrapping
„Proofpoint ist bekannt, dass Angreifer die URL-Weiterleitungen und den URL-Schutz des Unternehmens derzeit in Phishing-Kampagnen missbrauchen. Dieses Vorgehen hat Proofpoint bei verschiedenen Sicherheitsdienstleistern beobachtet, die E-Mail-Schutz bzw. URL-Rewrites anbieten.
In diesen Kampagnen missbrauchen Angreifer entweder eine offene Weiterleitung, um auf eine umgeschriebene URL zu verlinken, oder kompromittieren ein E-Mail-Konto, das über eine Form von E-Mail-Schutz verfügt. Anschließend senden sie eine E-Mail mit einem Phishing-Link an das kompromittierte Konto. Der Sicherheitsdienstleister schreibt die URL um und der Angreifer stellt sicher, dass der Link nicht blockiert wird. Danach fügt der Angreifer die umgeschriebene URL in verschiedene Weiterleitungsketten ein. Proofpoint hat beobachtet, dass Angreifer diese Technik einsetzen und URLs mehrerer Sicherheitsanbieter – darunter Sophos und Cisco – missbrauchen.
Proofpoint erkennt diese Kampagnen mithilfe seiner KI-basierten Erkennungs-Engine, die Verhaltensanalysen nutzt, und sortiert die Nachrichten aus. Außerdem blockiert das Unternehmen die endgültige URL am Ende der Weiterleitungskette, um eine Ausnutzung zu verhindern.
Wenn Angreifer eine umgeschriebene URL eines Sicherheitsdienstes verwenden (einschließlich Proofpoint), wird die gesamte Angriffskette für jeden Empfänger der Kampagne blockiert, sobald der Sicherheitsdienst die endgültige URL blockiert. Dies gilt unabhängig davon, ob der Empfänger Kunde dieses Sicherheitsdienstes ist oder nicht.“
