Angreifer nutzen AiTM-Phishing-Seiten, um auf SharePoint, HubSpot und Google Workspace zuzugreifen

SNARKY SPIDER meldet fast ausschließlich Genymobile

SNARKY SPIDER meldet fast ausschließlich Genymobile Android Emulatoren zur Verwaltung äten über verschiedene Betriebssysteme hinweg an.

CORDIAL SPIDER verwendet eine breitere Palette äten und Windows Quick Emulatoren (QEMU) für seinen Authentifizierungsbedarf.

Bedrohungsakteure registrieren oft ihre bösartigen Geräte bei langjährigen Konten, bei denen MFA zuvor nicht aktiviert war.

Technik und Auswirkungen

Beide Gruppen löschen systematisch automatisierte Sicherheits-E-Mails aus dem Posteingang des Opfers, um nicht autorisierte Geräte-Registrierungen zu verbergen.

Angreifer setzen automatisierte Posteingangsregeln ein, um Nachrichten, die Schlüsselwörter wie „Alert“, „Incident“ oder „MFA“ enthalten, sofort zu filtern.

Schnelle Datenexfiltration Nachdem ein sicherer und unauffälliger Zugang hergestellt wurde, führen die Bedrohungsakteure gezielte Suchanfragen über miteinander verbundene SaaS-Plattformen durch, um hochkarätige Informationen zu lokalisieren. SNARKY SPIDER beginnt innerhalb einer Stunde mit der Exfiltration (Quelle: Crowdstrike).

Sie fragen häufig Begriffe wie „confidential“,

Sie fragen häufig Begriffe wie „confidential“, „SSN“, „contracts“ und „VPN“ ab, um geschäftskritische Dokumente und Infrastruktur-Zugangsdaten zu priorisieren. Nach dieser Aufklärungsphase bewegen sich die Gegner schnell zur Aggregation und zum Download massiver Datensätze.

In vielen dokumentierten Vorfällen beginnt SNARKY SPIDER innerhalb einer Stunde nach der anfänglichen Kompromittierung mit der Hochvolumen-Datenexfiltration. Diese schnellen Durchbrüche nutzen Kundenkonfigurationseinstellungen aus, wie das Fehlen eines phishing-resistenten MFA, anstatt zugrunde liegender Schwachstellen in den SaaS-Plattformen selbst.

Um ihre geografischen Standorte zu verschleiern und IP-basierte Erkennung zu umgehen, leiten beide Bedrohungsgruppen ihren Datenverkehr über kommerzielle VPNs und Wohnproxynetzwerke. Die Falcon Shield Erkennung identifiziert, wann ein Benutzer Dateien in einem bestimmten Volumen herunterlädt (Quelle: crowdstrike).

Einordnung fuer Autofahrer

Anbieter wie Mullvad, Oxylabs und NetNut weisen Angreifern echte IP-Adressen, wodurch böswillige Aktivitäten wie harmloser Wohnverkehr erscheinen. Der Schutz vor diesen ausgefeilten Techniken erfordert ein umfassendes SaaS-Security-Posture-Management und erweiterte Anomalieerkennung.

Plattformen wie CrowdStrike Falcon Shield schließen diese Sichtungslücken, indem sie tiefgreifendes SaaS-Know-how anwenden, um Authentifizierungsflüsse und Benutzerverhaltensweisen zu analysieren.

Durch die Kombination ätsbewussten statistischen Modellen mit modernster Netzwerkintelligenz können Sicherheitsteams Anonymisierungsdienste zuverlässig identifizieren, feindliche Infrastrukturen bündeln und diese Hochgeschwindigkeits-Cloud-Bedrohungen unterbrechen.

Der Beitrag Attackers Deploy AiTM Phishing Pages to Access SharePoint, HubSpot, and Google Workspace erschien zuerst bei