Von Samantha Clarke, Ankit Gupta, Hiwot Mendahun und dem Mimecast Threat Research Team
Die Bedrohungsforscher von Mimecast haben eine Phishing-Kampagne beobachtet, die mit einer verpassten Paketzustellung lockt, um Benutzer dazu zu bringen, auf bösartige Links zu klicken und Finanzdaten zu stehlen. Die Kampagne wird über Biglobe verbreitet, ein japanisches Telekommunikationsunternehmen, das häufig von Bedrohungsakteuren ausgenutzt wird. Die Angreifer nutzen Untergrundmarktplätze wie fishersender[.]com, um kompromittierte Konten zu kaufen, die ihnen legitimen Zugang zur Infrastruktur von Biglobe gewähren. Dieser Zugang ermöglicht es ihnen, bösartige E-Mails zu versenden, die die meisten E-Mail-Authentifizierungsprotokolle umgehen.
Die in dieser Kampagne gefundenen Links verweisen auf legitime Amazon Simple Storage Service (S3) URLs. Amazon S3 ist eine Cloud-Speicherlösung, die die Speicherung, Verwaltung und den Abruf von Objekten wie HTML-Dateien unterstützt. Er wird häufig zum Hosten statischer Websites verwendet und bietet öffentlichen Speicherplatz. Bedrohungsakteure missbrauchen S3-Buckets, um bösartige Dateien oder Seiten zu hosten, und nutzen den Ruf des Dienstes als vertrauenswürdig aus, um die Sicherheitsüberprüfung zu umgehen.
Bei dieser Kampagne wurden die S3-Buckets verwendet, um eine HTML-Datei zu speichern, die als Umleitung zu einer anderen bösartigen URL dient, wenn ein Benutzer darauf zugreift.
Die Datei richtet eine leere Webseite ein (<body> ), die vor dem Benutzer versteckt wird, um Verdacht zu vermeiden, und die nicht über Suchmaschinen sichtbar ist
Das JavaScript konstruiert dynamisch eine bösartige URL, indem es Variablen aneinander reiht, z. B. la = "emaili", muie = " ng .targ" usw. Indem das Skript die bösartige URL in einzelne Teile zerlegt und diese miteinander verknüpft, versucht es, einfache Erkennungsmechanismen oder einfache Schlüsselwortabgleiche zu umgehen.
Nach der Weiterleitung wird dem Benutzer eine sehr gut strukturierte Phishing-Seite präsentiert, auf der lediglich die Postleitzahl des Benutzers abgefragt wird. Sobald der Nutzer die Informationen eingegeben hat, wird er auf eine andere Seite weitergeleitet, auf der er um finanzielle Angaben gebeten wird, um die Lieferung abzuschließen, die dann gestohlen werden.
Die Kampagnenaktivität zeigt deutliche Spitzen bei den böswilligen Treffern, insbesondere Ende August und Anfang September, wobei die sporadische Aktivität bis in den Oktober hinein anhält.
T1598.002 - Phishing für Informationen
T1583.001 - Erwerben von Infrastruktur: Domains
T1584.004 - Kompromittierung der Infrastruktur: Vertrauenswürdige Beziehung
T1204.001 - Benutzer-Ausführung: Bösartiger Link
T1586.002 - Kompromittierung von Konten: E-Mail-Konten
T1041 - Exfiltration über C2-Kanal
Wir haben in den Kampagnen mehrere Attribute identifiziert, die zu unseren Erkennungsfähigkeiten hinzugefügt wurden.
Vereinigtes Königreich, vorwiegend gemeinnütziger Sektor und Wohnungsbau
hxxps://s3.amazonaws[.]com/a1zx6ttriopl/parcel.html hxxps://s3.amazonaws[.]com/hfdfbdf8/2/envi7.htm hxxps://s3.amazonaws[.]com/effdafab/9/reschedule4.htm hxxps://s3.amazonaws[.]com/a16130f3d/3/schedule0.htm hxxps://s3.amazonaws[.]com/oginokazunori/input.html hxxps://s3.amazonaws[.]com/e959ec93/4/envi4.htm hxxps://s3.amazonaws[.]com/isoebstao/hermes.html hxxps://s3.amazonaws[.]com/ceciliacha/courier.html
Erfahren Sie, wie die einheitliche Plattform von Mimecast Ihre Mitarbeiter, Ihre KI und Ihre Daten schützen kann.
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Threat Intelligence1. Sept. 2026
Threat Intelligence27. Aug. 2026
