Mimecast-Phishing-Kampagne

18. März 2025

Von Rikesh Vekaria und dem Mimecast Threat Research Team

"Rikesh Vekaria und die Sicherheitsforscher von Mimecast haben kürzlich eine Phishing-Kampagne zur Erfassung von Anmeldedaten aufgedeckt, bei der die Marke Mimecast missbraucht wurde. Die Angreifer nutzen sorgfältig gestaltete „ "“-Sicherheitsnachrichten", um die Empfänger dazu zu verleiten, zu glauben, dass es sich um legitime E-Mails handelt, die im Zusammenhang mit sicherer Kommunikation stehen.

Diese Kampagnen nutzen Vorlagen mit Mimecast-Logos sowie Logos anderer Unternehmen, um ihre Authentizität zu verstärken, enthalten jedoch stets den Mimecast-Haftungsausschluss am Ende der E-Mail, um das Zielpublikum noch stärker zu täuschen. Immobilienunternehmen scheinen ein Hauptziel dieser Kampagne zu sein, da sie daran gewöhnt sind, Secure Messaging per E-Mail zu erhalten. Diese Vertrautheit erhöht die Wahrscheinlichkeit eines Erfolgs der Kampagne, da die Empfänger eher geneigt sein könnten, Mitteilungen zu vertrauen und darauf zu reagieren, die wie legitime secure Messaging aussehen.

Wir haben festgestellt, dass verschiedene Taktiken eingesetzt werden, um Endnutzer zu täuschen und Sicherheitsfilter zu umgehen; eine davon besteht darin, umgeschriebene Links von E-Mail-Sicherheitsanbietern zu nutzen, um Nutzer auf Phishing-Seiten umzuleiten. Mimecast hat diese Vorgehensweise bei mehreren im Jahr 2024 untersuchten Kampagnen festgestellt. Erfahren Sie mehr über die hier angewandten Techniken.

Sobald Nutzer auf diese Links klicken, werden sie auf eine Seite weitergeleitet, die der echten Microsoft-Anmeldeseite sehr ähnlich sieht.

Diese Kampagne wurde erstmals Anfang Februar beobachtet und läuft unter der Woche mit relativ geringem Umfang, wobei an den Wochenenden eine Pause eingelegt wird. In den letzten zwei Wochen wurden 18.000 Erkennungsfälle identifiziert, die sich überwiegend gegen die Immobilienbranche richteten.

Ziele:

USA, Immobilien 

IOC:

Themenstruktur;

_____[Firmenname] Gesicherte Nachricht an r*****s@[Firmendomain #Ref-[Zufallszeichen]

Letzte Phishing-Seite;

24editor[.]com/0ffice-msoft/cloud-mail/

Empfehlungen

• Stellen Sie sicher, dass die Richtlinie „URL Protect“ so konfiguriert ist, dass sie Ihre Organisation schützt. 
• Durchsuchen Sie Ihre E-Mail-Empfangsprotokolle, um festzustellen, ob ähnliche Betreffzeilen an Ihre Nutzer gesendet wurden.
• Überprüfen Sie Ihre Web Security Protokolle, um festzustellen, ob Nutzer auf die letzte Phishing-Seite zugegriffen haben
• Setzen Sie vorsorglich die Passwörter aller betroffenen Benutzer zurück
• Klären Sie die Endnutzer über den Missbrauch vertrauenswürdiger Dienste auf