Das Mimecast Threat Research-Team hat eine neue Sextortion-Betrugskampagne aufgedeckt, bei der legitime Rechnungsstellungsdienste zur Verbreitung bösartiger E-Mails missbraucht werden. Diese Kampagnen, die im Juni 2025 begannen, nutzen Umgehungstechniken, um Sicherheitslösungen zu umgehen, und zielen auf ahnungslose Empfänger ab. Die Kampagnen zeichnen sich dadurch aus, dass sie seriöse Dienste nutzen, um ihren böswilligen Absichten Glaubwürdigkeit zu verleihen.
Details zur Kampagne
Es wurden kürzlich Phishing-Kampagnen identifiziert, bei denen Eslip, Snap Invoicing und Loyverse zur Verbreitung genutzt wurden. Diese Plattformen, die Dienstleistungen im Bereich der Rechnungsstellung und Zahlungsabwicklung anbieten, werden missbraucht, um automatisierte Betrugsmaschen zu ermöglichen. Die Kampagnen nutzen die Funktionen etablierter Rechnungsstellungsdienste aus, wodurch Angreifer betrügerische E-Mail-Benachrichtigungen versenden können, die echt wirken. Diese Vorgehensweise stärkt nicht nur die Glaubwürdigkeit der Betrugsversuche, sondern erhöht auch die Wahrscheinlichkeit, dass Nutzer darauf eingehen.
Es wurden drei ähnliche Kampagnen identifiziert, bei denen jeweils dieselbe Bitcoin-Wallet-Adresse sowohl für die Zahlung als auch als E-Mail-Antwortadresse verwendet wurde, was auf eine koordinierte Aktion hindeutet. In den E-Mails wird behauptet, man verfüge über kompromittierendes Material über den Empfänger, und es wird eine Zahlung in Bitcoin gefordert, um die Veröffentlichung dieses Materials zu verhindern. Es werden weitere personenbezogene Daten wie das Geburtsdatum oder das Passwort des Empfängers verwendet, um die Glaubwürdigkeit zu untermauern und Panik zu schüren. Dies deutet darauf hin, dass die Daten des Empfängers von einer Datenpanne betroffen sind und wie diese Art von Daten für weitere Angriffe genutzt werden kann.
Ausweichtechniken
Um Sicherheitslösungen zu umgehen, wenden die Angreifer folgende Methoden an:
- Die Bitcoin-Adresse in der E-Mail in zwei Teile aufzuteilen, um einer Erkennung durch automatisierte Scanner zu entgehen.
- Veröffentlichung weiterer Details zur Erpressung, einschließlich der Bitcoin-Adresse, auf einer externen Hosting-Website (catbox.moe). Dadurch wird sichergestellt, dass sensible Angaben nicht direkt im E-Mail-Text enthalten sind, wodurch eine Erkennung weiter verhindert wird.
Jüngste Kampagnen zeigen eine strategische Neuausrichtung der Angreifer hin zum Missbrauch legitimer Online-Benachrichtigungsdienste als Übertragungswege. Diese Taktik nutzt das Vertrauen aus, das Nutzer in bekannte Plattformen setzen, um Perimeter-Abwehrmaßnahmen zu umgehen und sich den üblichen Sicherheitskontrollen zu entziehen. Die Ausnutzung dieser vertrauenswürdigen Dienste erhöht nicht nur die Wahrscheinlichkeit einer Interaktion seitens der Nutzer, sondern verringert auch die Wahrscheinlichkeit, entdeckt zu werden, was ein erhöhtes Risiko für Unternehmensumgebungen darstellt. Diese Entwicklungen unterstreichen die Notwendigkeit adaptiver Erkennungsstrategien, die dem Missbrauch legitimer Infrastruktur Rechnung tragen.
Mimecast-Schutz
Mimecast hat Erkennungsfunktionen implementiert, um E-Mails im Zusammenhang mit dieser Kampagne zu identifizieren und zu blockieren. Wir beobachten weiterhin Veränderungen bei den Taktiken und Techniken der Angreifer, um sicherzustellen, dass unsere Kunden weiterhin geschützt sind.
Ziele:
Vorwiegend US-amerikanische und australische Unternehmen aus verschiedenen Branchen
des IOC
Versenden von E-Mail-Adressen
mailer@snapinvoicing[.]com
help@loyverse[.]com
Antwortadresse
contact@enrolledagent[.]com
Themen
[Name] – Wir kümmern uns darum! [Name] – Sofortiges Handeln erforderlich Angebotsnummer [sechsstellige Zahl] von BlackEye für [Name]
Bitcoin-Wallet
1AiSyds8XSXEVCs4QWhdpsbikCEiLfpWLY
Erfahren Sie, wie die einheitliche Plattform von Mimecast Ihre Mitarbeiter, Ihre KI und Ihre Daten schützen kann.
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Threat Intelligence1. Sept. 2026
Threat Intelligence27. Aug. 2026
