Mimecast Threat Research hat festgestellt, dass Angreifer SharePoint und Google Drive nutzen, um Dateien mit Links zu bösartigen Websites zu verbreiten. Als Köder dient dabei meist eine Ausschreibung, mit der Ziel, über ein gehostetes Phishing-Kit Zugangsdaten zu erlangen.
Ein Beispiel aus dieser Kampagne ist unten zu sehen, bei dem ein kompromittiertes O365-Konto genutzt wird. In den meisten Fällen werden Domains aus bestimmten Branchen verwendet, die mit dem Zielunternehmen in Verbindung stehen, was die Wahrscheinlichkeit erhöht, dass der Endnutzer auf die E-Mail reagiert.
Die E-Mail enthält einen Link „Hier klicken, um das Projekt anzuzeigen“, über den weitere Informationen zur Ausschreibung abgerufen werden sollen. Beim Anklicken des Links werden die Nutzer auf eine SharePoint-Ordnerseite weitergeleitet, die eine Datei enthält – was ungewöhnlich ist, da normalerweise die „Dateien“ selbst den Inhalt bilden, was diesen Fall einzigartig macht.
Der Grund für diese zusätzliche Verschleierungsebene ist die Umgehung von Sicherheitslösungen. Zudem wirkt der Köder durch mehrere Dateien im Ordner glaubwürdiger oder hilft dem Angreifer bei der Verwaltung von Kampagnen, bei denen er Ordner nutzen kann, ohne eine Datei direkt freizugeben.
In diesem Kampagnenbeispiel wurde auf der SharePoint-Seite eines echten Unternehmens ein Ordner eingerichtet, wobei der angebliche Eigentümer der Datei derselben Organisation zugeordnet ist. Sobald sich der Nutzer im Ordner befindet, muss er mit der Seite interagieren, um auf die Datei zugreifen zu können.
Beim Anklicken der Datei erscheint ein unscharfes PDF, das den Nutzer auffordert, über einen Link auf sein Microsoft-Konto zuzugreifen, um Zugriff auf die Datei zu erhalten.
Die Phishing-Seiten weisen eine ähnliche URL-Struktur auf: hxxps://[NAME].[store/online/site]/?[8 Zeichen], die bereits bei auf „NakedPages“ erworbenen Phishing-Seiten beobachtet wurde. Bei einigen Kampagnen kommen zusätzlich CAPTCHA-Seiten zum Einsatz, um die Anzahl der erforderlichen Benutzerinteraktionen bis zur endgültigen Phishing-Seite zu erhöhen – manchmal bis zu sieben. Dies ist mittlerweile eine sehr verbreitete Technik, die von Angreifern genutzt wird, um einer Erkennung zu entgehen.
Diese Art von Technik beschränkt sich nicht nur auf Microsoft-Dienste; hier ist ein Beispiel für eine Kampagne, die Google Drive nutzt und ein sehr ähnliches Layout sowie eine sehr ähnliche Zielseite zum Abgreifen von Anmeldedaten aufweist:
Bei der Untersuchung des Google-Drive-Beispiels wurde eine Fehlerseite angezeigt, die etwas mehr Details zur Kampagne liefert, wobei ein Lizenzfehler zu beobachten ist, der vermutlich von „NakedPages“ stammt.
Weitere Informationen auf der Seite verweisen auf nkp.relay-proxy-i2p.com. I2P ist eine auf Datenschutz ausgerichtete Netzwerkebene für anonyme Kommunikation. Dies deutet darauf hin, dass die Phishing-Seite versuchte, eine Verbindung zu einem I2P-Relay oder -Proxy herzustellen, wahrscheinlich um Daten zu exfiltrieren oder anonym zu kommunizieren.
Weitere Untersuchungen zeigen, dass nkp.relay-proxy-i2p.com erst seit kurzem aktiv ist und auf FlokiNET verweist. FlokiNET ist ein Webhosting-Anbieter, der dafür bekannt ist, Dienste mit starkem Fokus auf Datenschutz und Meinungsfreiheit anzubieten. Er wird häufig von Aktivisten und Journalisten genutzt, doch auch Angreifer machen sich diese Dienste zunutze. Mimecast hat kürzlich eine Verlagerung bei den Hosting-Anbietern beobachtet, was darauf hindeutet, dass Angreifer ihre Infrastruktur verstärkt rotieren lassen, um einer Entdeckung und Sperrung zu entgehen.
Die Nameserver für nkp.relay-proxy-i2p.com sind Njalla, was einen weiteren interessanten Aspekt darstellt. Njalla ist ein Domain-Registrierungsdienst, der großen Wert auf Datenschutz und Anonymität legt und die Identität der Domaininhaber schützt. Dies geschieht, indem er als Vermittler zwischen dem Registrar und dem Domaininhaber fungiert, die Domain in Ihrem Namen registriert und dabei persönliche Daten verborgen hält.
Weltweit, alle Branchen
Websites zum Sammeln von Anmeldedaten
Betreffzeilen (es gibt mehrere Varianten)
Erfahren Sie, wie die einheitliche Plattform von Mimecast Ihre Mitarbeiter, Ihre KI und Ihre Daten schützen kann.
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Threat Intelligence1. Sept. 2026
Threat Intelligence27. Aug. 2026
