- Cyberkriminelle nutzen die Weihnachtszeit aus, indem sie sich als seriöse Dienste für Party-Einladungen wie Punchbowl ausgeben, um Tools zur Fernüberwachung und -verwaltung (RMM) zu verbreiten
- Der Fokus liegt auf US-amerikanischen Unternehmen vor allem aus den Branchen Finanzen, freiberufliche Dienstleistungen (Wirtschaftsprüfung, Rechtsberatung) und Immobilien
- Links in diesen gefälschten Einladungen leiten die Nutzer über Google Sites und HubSpot weiter, um die ScreenConnect-RMM-Client-Software herunterzuladen
Threat intelligence
Einladungen zu Weihnachtsfeiern bieten Tools für den Fernzugriff
Wichtige Punkte
Kampagnenübersicht
Das Mimecast Threat Research-Team hat eine andauernde Kampagne identifiziert, die die Weihnachtszeit ausnutzt, um Fernzugriffstools zu verbreiten, die als Einladungen zu Weihnachtsfeiern getarnt sind. Dabei wurden über 2.300 Domains als Ziele identifiziert, vor allem in den Vereinigten Staaten, wobei eine nennenswerte Konzentration in Australien zu verzeichnen ist. Diese Technik nutzt bekannte Muster der Nachahmung legitimer Einladungsdienste wie Evite und Punchbowl, um sowohl Seiten zum Phishing von Zugangsdaten als auch Malware zu verbreiten. Die aktuelle Kampagne stellt eine Weiterentwicklung dieser Taktik dar und zielt insbesondere auf die zunehmende Zahl von Mitteilungen zu betrieblichen Weihnachtsveranstaltungen ab.
Ablauf des Angriffs
Der Angriff beginnt mit E-Mails, die von legitimen, jedoch kompromittierten Business Email-Konten versendet werden, wodurch die Nachricht auf Anhieb glaubwürdig wirkt. Diese kompromittierten Konten gehören häufig vertrauenswürdigen Drittanbietern wie Wirtschaftsprüfungsgesellschaften, Anwaltskanzleien oder Unternehmensberatern. Die Empfänger erhalten eine scheinbar echte Einladung zu einer Weihnachtsfeier oder einer anderen Weihnachtsveranstaltung. Die E-Mail enthält einen Link, der angeblich Informationen zur Veranstaltung oder Anmeldemöglichkeiten bereitstellt.
Wenn Sie auf den Link klicken, löst dies eine mehrstufige Weiterleitungskette aus, die darauf ausgelegt ist, einer Erkennung zu entgehen. Bei einigen Kampagnen wird beobachtet, dass Nutzer über Google Sites oder den Engagement-Dienst von HubSpot umgeleitet werden, wodurch das bösartige Ziel noch stärker verschleiert wird. Bei anderen Kampagnen sehen wir eine Landingpage, auf der der Nutzer aufgefordert wird, auf die Schaltfläche „Datei herunterladen“ zu klicken, wodurch der Download gestartet wird. Auf den endgültigen Zielseiten befinden sich Installationsprogramme für den ScreenConnect-RMM-Client, die als Downloads für Einladungen zu Partys getarnt sind.
