Von Samantha Clarke, Hiwot Mendahun, Ankit Gupta und dem Mimecast Threat Research Team
Die Bedrohungsforscher von Mimecast haben kürzlich eine Phishing-Kampagne beobachtet, bei der Recruitee, ein legitimes Client-Management-System (CMS) eines Drittanbieters für die Personalbeschaffung, ausgenutzt wurde (intern als MCTO3035 erfasst). Angreifer missbrauchen die Plattform, um betrügerische E-Mails mit Stellenangeboten zu versenden, wodurch sie Endnutzer täuschen und möglicherweise Erkennungsmechanismen umgehen, indem sie einen vertrauenswürdigen Dienst nutzen. Darüber hinaus registrieren sie ähnliche Domains und fügen diese in von Recruitee generierte E-Mails ein, wobei sie sich als bekannte Marken ausgeben und so die Glaubwürdigkeit ihrer Phishing-Betrugsversuche erhöhen.
Der Köder in dieser Kampagne dreht sich um ein betrügerisches Stellenangebot für einen Social Media Manager, das die Opfer dazu verleitet, einen Link anzuklicken, um sich zu bewerben. Bei näherer Untersuchung stellte sich heraus, dass die in den Kampagnen verwendeten Domains erst kürzlich über Dienste wie Porkbun und Hostinger registriert wurden, die von den Bedrohungsakteuren wegen ihrer geringen Kosten, einfachen Nutzung und schnellen Einrichtung bevorzugt werden.
Sobald der Benutzer auf den Link klickt, werden zufällige CAPTCHAS und IP-Filter eingesetzt, um eine automatische Erkennung zu verhindern, bevor der Benutzer auf eine Anmeldeseite weitergeleitet wird.
Sie erhalten eine gut strukturierte Phishing-Seite mit Branding und Logos, die die Glaubwürdigkeit erhöhen. Diese Kampagnen zielen in erster Linie darauf ab, Facebook-Anmeldedaten abzufangen, und der Nutzer wird aufgefordert, ein Konto über Facebook zu erstellen oder seine E-Mail-Adresse/Telefonnummer einzugeben. Beide Wege führen den Benutzer zur Eingabe der Facebook-Anmeldedaten.
Nach der Eingabe der Anmeldeinformationen wird der Benutzer dann nach einer zweiten Authentifizierung gefragt, damit der Bedrohungsakteur das Facebook-Konto übernehmen kann. Alle auf diesen Seiten eingegebenen Daten werden automatisch in Telegram-Logger eingespeist, um eine rechtzeitige Übernahme der Konten zu gewährleisten.
Die Kampagnenaktivität ist im September deutlich angestiegen und hat Ende November wieder zugenommen.
T1566.002 - Phishing: Speer Phishing Link
T1598.002 - Phishing für Informationen
T1204.001 - Benutzer-Ausführung: Bösartiger Link
T1596.002 - Durchsuchen offener Websites/Domänen nach Ressourcen des Opfers (z. B. Erstellen ähnlicher Domänen)
T1189 - Drive-by-Compromise (Phishing Websites mit CAPTCHA/IP-Filterung)
T1070.004 - Indikator-Entfernung auf dem Host: Automatisierte Exfiltration über Telegram Bots
US und UK, vor allem Einzelhandel, Medien/Verlagswesen
Erfahren Sie, wie die einheitliche Plattform von Mimecast Ihre Mitarbeiter, Ihre KI und Ihre Daten schützen kann.
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Threat Intelligence1. Sept. 2026
Threat Intelligence27. Aug. 2026
