Von Mimecast Threat Research Team
Die Bedrohungsforscher von Mimecast haben eine sehr gezielte „Business Email Compromise“-Kampagne entdeckt (intern als MCTO5005 erfasst). Unsere Analyse zeigt, dass immer ausgefeiltere Techniken eingesetzt werden, um BEC-E-Mails glaubwürdig erscheinen zu lassen.
Die Kampagne beginnt mit einer E-Mail, die über vertrauenswürdige Dienste wie DocuSign und Adobe Sign verschickt wird und fälschlicherweise vorgibt, von einer Anwaltskanzlei zu stammen. In der E-Mail wird der Empfänger aufgefordert, ein Dokument zu unterzeichnen und eine angegebene Telefonnummer anzurufen, die nicht mit der Anwaltskanzlei verbunden ist.
Diese Kampagne scheint sehr zielgerichtet zu sein, und die Angaben zur Anwaltskanzlei in diesen ersten E-Mails deuten darauf hin, dass der Bedrohungsakteur möglicherweise bereits über eine Arbeitsbeziehung mit dem Zielunternehmen verfügt. Sobald das Opfer die Nummer anruft, spricht es mit dem Bedroher, der sich als Mitarbeiter dieser Anwaltskanzlei ausgibt.
Das Opfer wird dann angewiesen, eine E-Mail an eine Adresse mit einer Domäne zu senden, die der Domäne der legitimen Anwaltskanzlei ähnelt, wodurch eine E-Mail-Beziehung zu dieser verdächtigen Adresse entsteht. Diese Adresse wird dann für die weitere Kommunikation als vertrauenswürdiger Absender für diesen Benutzer verwendet.
Die in der ursprünglichen E-Mail verwendeten Domänen sowie ähnliche Domänen, die mit Anwaltskanzleien verknüpft sind, nutzen überwiegend Eranet International Limited für das Hosting und Hostinger für ihre Namensserver. Beide Anbieter wurden in der Vergangenheit von Bedrohungsakteuren ausgiebig missbraucht und spielen eine entscheidende Rolle in der aktuellen Infrastruktur dieser Bedrohungsakteure.
Sobald die Verbindung hergestellt ist, verwendet der Bedrohungsakteur die verdächtige Adresse, um eine betrügerische Rechnung zu senden, die er bezahlen muss. Um dieser Kampagne noch mehr Legitimität zu verleihen, erhält das Opfer in einigen Fällen über WhatsApp einen gefälschten Anruf, der sich als Geschäftsführer oder als jemand ausgibt, der berechtigt ist, die Überweisung zu genehmigen. Die beantragten Beträge dürften erheblich sein und sollten mit äußerster Vorsicht behandelt werden.
Die Dateien, die mit dem Zielunternehmen ausgetauscht werden, scheinen auch ein gewisses Muster aufzuweisen
Wir haben in den Kampagnen mehrere Attribute identifiziert, die zu unseren Erkennungsfähigkeiten hinzugefügt wurden. Auf der Seite Erweiterter BEC-Schutz erfahren Sie mehr darüber, wie unsere fortschrittlichen KI- und Natural Language Processing-Funktionen bei der Erkennung sich entwickelnder Bedrohungen helfen.
Hauptsächlich in den USA und im Vereinigten Königreich, in den Bereichen Banken, Finanzdienstleistungen und Versicherungen.
Es wurden auch Entdeckungen außerhalb dieser Regionen und Vertikalen gemacht.
mail-sign[.]com
n4a-doc[.]com
doc-sign[.]net
ds-sign[.]net
mail-doc[.]net
n4a-doc[.]net
de1-docusign[.]net
6-docusign[.]com
de10-docusign[.]net
sign-de1[.]com
doc-docusign[.]com
a-docusign[.]com
7-docusign[.]com
de2-docusign[.]com
2-docusign[.]com
de-docusign[.]com
sign-doc[.]net
sign-mail[.]com
sign-acrobat[.]com
doc-docusign[.]net
8-docusign[.]com
dse-sign[.]com
dse-doc[.]net
sign-n4a[.]net
n4a-dse[.]net
dse-n4a[.]net
n4a-ds[.]com
n2a-dse[.]com
dse-n2a[.]net
n2a-dse[.]net
dse-n2a[.]com
b-docusign[.]com
ds-n4a[.]com
sign-de3[.]com
sign-de2[.]com
n4a-sign[.]net
mail-sign[.]net
doctosign[.]tech
Mimecast arbeitet aktiv mit Diensten wie Docusign zusammen, um den Missbrauch dieser vertrauenswürdigen Dienste zu bekämpfen.
Erfahren Sie, wie die einheitliche Plattform von Mimecast Ihre Mitarbeiter, Ihre KI und Ihre Daten schützen kann.
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Threat Intelligence1. Sept. 2026
Threat Intelligence27. Aug. 2026
