Neue Bedrohung gemeldet: InDesign Phishing-Webseiten. Schützen Sie Ihre Microsoft 365-Anmeldeinformationen

Die Datto Threat Research Unit hat kürzlich eine neue Phishing-Technik analysiert, auf die unsere MSP-Partner achten sollten. Obwohl diese Art von Angriff bereits in freier Wildbahn aufgetreten ist, wurde sie bisher nicht als Phishing-Versuch erkannt. Diese Technik umfasst zwei Schlüsselelemente, die es in Kombination für die meisten Sicherheitslösungen nahezu unmöglich machen, sie zu erkennen: Der Angriff nutzt die Reputation des Adobe InDesign-Hostings aus, und der schädliche Link ist in einem iframe versteckt. Da nun bestätigt ist, dass es sich um einen Phishing-Versuch handelt, können wir erstmals über diese Technik berichten und hoffentlich künftige Angriffsversuche verhindern. 

Der Angriff

Ähnlich wie viele andere Phishing-Angriffe, die darauf abzielen, die Anmeldedaten von Microsoft-Benutzern abzugreifen, wird dieser Angriff per E-Mail versendet. Die E-Mail verleitet den Benutzer dazu, auf einen Link zu klicken, um auf ein freigegebenes Dokument zuzugreifen, das dann zu einer legitimen InDesign-Webseite führt, die auf indd.adobe.com gehostet wird. Hier sind ein paar Beispiele für solche Seiten:

In den obigen Screenshots enthalten die Schaltflächen "Dokument öffnen" und "PDF online anzeigen" einen Link zu einer Phishing-Website, auf der die Microsoft-Anmeldedaten des Opfers abgefragt werden, um auf das Dokument zuzugreifen, das so aussieht:

Im Gegensatz zur ersten Seite indd.adobe.com, die die Angreifer viele Tage lang online halten können, da sie keinen Verdacht erregt, muss diese URL häufig geändert werden, da sie in einer weniger seriösen Domain gehostet wird und als Phishing-Webseite identifiziert werden kann.

Die Technik der Angreifer

Um E-Mail-Sicherheitslösungen zu umgehen, nutzten die Angreifer die legitime Adobe InDesign-Plattform:

1. Die Domäne indd.adobe.com ist eine vertrauenswürdige öffentliche Domäne. Viele reputationsbasierte Sicherheitslösungen würden URLs, die zu dieser Domäne führen, nicht scannen oder sie scannen und zu dem Schluss kommen, dass sie sicher sind, weil die URL indd.adobe.com legitim ist, nichts Verdächtiges anzeigt und nicht nach Anmeldedaten fragt. Das Hosten von Phishing-Webseiten in vertrauenswürdigen öffentlichen Domänen wie GoogleDrive, SharePoint, OneDrive und Dropbox ist ein bekannter Trick. Dies ist jedoch das erste Mal, dass dies unter Ausnutzung der InDesign-Domäne geschieht.
2. Die Webseite wurde mit InDesign entworfen, das einige spezifische Merkmale aufweist, die von den bösen Akteuren ausgenutzt wurden, um Sicherheitslösungen zu umgehen. Das wichtigste Merkmal ist die Tatsache, dass die Links in iframes versteckt sind, anstatt als Links gekennzeichnet zu sein. Die meisten Phishing-Erkennungssysteme sind darauf ausgelegt, URLs in HTML zu scannen (wo URLs als Links gekennzeichnet sind), und erkennen daher die Links in diesen bösartigen InDesign-Webseiten nicht.
3. Ein weiterer Vorteil der InDesign-Plattform sind die verschiedenen Designfunktionen für Social Engineering, die es den Angreifern ermöglichen, den Anschein zu erwecken, dass sie die Opfer täuschen wollen (so echt wie möglich).
4. Hinzu kommt, dass die Angreifer die bösartige URL (die nach den Benutzeranmeldeinformationen fragt) nicht in die E-Mail selbst einfügten, sondern die Seite indd.adobe.com als Zwischen-URL verwendeten, die für E-Mail-Sicherheitslösungen sicher erscheint.

Wie Sie sich schützen können

Phishing-Betrügereien werden immer raffinierter und nutzen immer fortschrittlichere Umgehungstechniken. In diesem Fall nutzten die Angreifer die InDesign-Plattform gleich dreifach - als vertrauenswürdigen Host, als Design-Plattform und um die eigentliche bösartige URL vor Scannern zu verbergen. Die Kombination dieser Taktiken unterscheidet ihn von anderen Angriffen und ermöglicht es ihm, viele E-Mail-Sicherheitslösungen zu umgehen.

Leider macht dies sowohl den Unternehmen, die ihre Mitarbeiter und Vermögenswerte schützen wollen, als auch den Sicherheitsanbietern, die sie dabei unterstützen, das Leben sehr schwer. Um sich vor solchen Bedrohungen und anderen neuen Phishing-Techniken zu schützen, müssen Unternehmen sicherstellen, dass sie zusätzlich zu ihrer grundlegenden E-Mail-Sicherheit einen erweiterten Schutz vor Bedrohungen verwenden - eine Sicherheitslösung, die vor allen Phishing-Angriffen und -Techniken schützen kann, auch vor solchen, die noch nicht bekannt sind oder häufig verwendet werden.

Hier kann Datto SaaS Defense helfen. SaaS Defense – Dattos fortschrittlicher Schutz vor Bedrohungen für die Microsoft 365-Suite – schützt vor Phishing, Ransomware und anderen Arten von Malware. Die einzigartige, datenunabhängige Technologie von SaaS Defense erkennt unbekannte Phishing-Bedrohungen bereits beim ersten Kontakt, unabhängig von früheren Angriffen oder der Reputation der Domain. Sie ist nicht auf Software von Drittanbietern, Signaturen oder Malware-Berichte angewiesen.

Während die meisten Sicherheitslösungen viel Pflege und Wartung erfordern, um effizient zu funktionieren, arbeitet SaaS Defense anders. Andere Lösungen müssen die Bedrohung zunächst in freier Wildbahn erkennen, um zu verstehen, wie sie funktioniert, bevor sich die Lösung anpassen kann, um sie zu stoppen. SaaS Defense verfolgt einen anderen Ansatz, indem es jede Anwendung in Microsoft 365 durchleuchtet. Wie soll diese Anwendung eigentlich funktionieren? Wie sehen gute und sichere Codepfade aus? Diese Bedingungen werden als bekannter, sicherer Zustand behandelt. Sollten wir jemals feststellen, dass etwas außerhalb dieses Zustands abläuft – sei es ein potenziell bösartiger Link oder eine andere, von der Norm abweichende Codeausführung –, identifizieren wir diese Bedrohung und blockieren sie, um zu verhindern, dass sie den Endnutzer erreicht. Das Ergebnis? Die Lösung schützt Sie, unsere Partner, unabhängig davon, ob es sich um bekannte oder unbekannte Bedrohungen handelt, und Sie müssen sich nicht um die Pflege, Wartung und Verwaltung kümmern, die bei herkömmlichen Lösungen erforderlich sind.

Um die SaaS Defense-Lösung in Aktion zu erleben und zu erfahren, wie sie Ihnen dabei helfen kann, Ihre Kunden vor den raffiniertesten und bösartigsten Cyberbedrohungen zu schützen, vereinbaren Sie bitte einen Termin für eine Demo mit einem unserer Mitarbeiter.