Angreifer nutzen AiTM-Phishing-Seiten, um auf SharePoint, HubSpot und Google Workspace zuzugreifen

Initialer Zugriff mittels Vishing Die Gegner initiieren ihre Angriffe mithilfe gezielter Voice-Phishing-Kampagnen (Vishing). Sie geben sich als IT-Support-Teams , um ein falsches Gefühl der Dringlichkeit bezüglich Sicherheitsupdates oder Kontoproblemen zu erzeugen.

Diese -Engineering-Taktik leitet Mitarbeiter auf betrügerische Adversary-in-the-Middle (AiTM)-Phishing-Seiten, die legitime Unternehmens-Login-Portale stark imitieren, und verwendet dabei täuschende Domains wie company-sso[.]com.

Diese Falcon Shield Erkennung zeigt ein verdächtiges Anmeldemuster, das mit AiTM-Phishing-Angriffen übereinstimmt (Quelle: Crowdstrike). Wenn Opfer ihre Anmeldedaten eingeben, erfassen die Angreifer Authentifizierungsdaten und aktive Sitzungstoken in Echtzeit.

Moegliche Anwendungen

Da das Proxy diese Authentifizierung direkt an den legitimen Dienst weiterleitet, erleben die Benutzer eine normale Anmeldung und sind sich des Kompromittierungsvorfalls völlig unbewusst. Diese gestohlenen Anmeldedaten gewähren Zugang zum Identitätsanbieter (IdP) der Organisation und bieten einen einzigen Zugangspunkt zu mehreren SaaS-Anwendungen.

Durch die Ausnutzung des Vertrauensverhältnisses zwischen dem IdP und den verbundenen Diensten bewegen sich die Angreifer lateral durch das gesamte Cloud-Ökosystem des Opfers. Sobald die Angreifer einen anfänglichen Zugriff erlangen, etablieren sie sofort Persistenz, indem sie die Einstellungen der Multi-Faktor-Authentifizierung (MFA) manipulieren.

Diese Falcon Shield Erkennung identifiziert die manuelle Löschung (Quelle: Crowdstrike).

SNARKY SPIDER meldet fast ausschließlich Genymobile

SNARKY SPIDER meldet fast ausschließlich Genymobile Android Emulatoren zur Verwaltung äten über verschiedene Betriebssysteme hinweg an.

CORDIAL SPIDER verwendet eine breitere Palette äten und Windows Quick Emulatoren (QEMU) für seinen Authentifizierungsbedarf.

Bedrohungsakteure registrieren oft ihre bösartigen Geräte bei langjährigen Konten, bei denen MFA zuvor nicht aktiviert war.

Beide Gruppen löschen systematisch automatisierte Sicherheits-E-Mails

Beide Gruppen löschen systematisch automatisierte Sicherheits-E-Mails aus dem Posteingang des Opfers, um nicht autorisierte Geräte-Registrierungen zu verbergen.

Angreifer setzen automatisierte Posteingangsregeln ein, um Nachrichten, die Schlüsselwörter wie „Alert“, „Incident“ oder „MFA“ enthalten, sofort zu filtern.

Schnelle Datenexfiltration Nachdem ein sicherer und unauffälliger Zugang hergestellt wurde, führen die Bedrohungsakteure gezielte Suchanfragen über miteinander verbundene SaaS-Plattformen durch, um hochkarätige Informationen zu lokalisieren. SNARKY SPIDER beginnt innerhalb einer Stunde mit der Exfiltration (Quelle: Crowdstrike).

Sie fragen häufig Begriffe wie „confidential“,

Sie fragen häufig Begriffe wie „confidential“, „SSN“, „contracts“ und „VPN“ ab, um geschäftskritische Dokumente und Infrastruktur-Zugangsdaten zu priorisieren. Nach dieser Aufklärungsphase bewegen sich die Gegner schnell zur Aggregation und zum Download massiver Datensätze.

In vielen dokumentierten Vorfällen beginnt SNARKY SPIDER innerhalb einer Stunde nach der anfänglichen Kompromittierung mit der Hochvolumen-Datenexfiltration. Diese schnellen Durchbrüche nutzen Kundenkonfigurationseinstellungen aus, wie das Fehlen eines phishing-resistenten MFA, anstatt zugrunde liegender Schwachstellen in den SaaS-Plattformen selbst.

Um ihre geografischen Standorte zu verschleiern und IP-basierte Erkennung zu umgehen, leiten beide Bedrohungsgruppen ihren Datenverkehr über kommerzielle VPNs und Wohnproxynetzwerke. Die Falcon Shield Erkennung identifiziert, wann ein Benutzer Dateien in einem bestimmten Volumen herunterlädt (Quelle: crowdstrike).

Anbieter wie Mullvad, Oxylabs und NetNut

Anbieter wie Mullvad, Oxylabs und NetNut weisen Angreifern echte IP-Adressen , wodurch böswillige Aktivitäten wie harmloser Wohnverkehr erscheinen. Der Schutz vor diesen ausgefeilten Techniken erfordert ein umfassendes SaaS-Security-Posture-Management und erweiterte Anomalieerkennung.

Plattformen wie CrowdStrike Falcon Shield schließen diese Sichtungslücken, indem sie tiefgreifendes SaaS-Know-how anwenden, um Authentifizierungsflüsse und Benutzerverhaltensweisen zu analysieren.

Durch die Kombination ätsbewussten statistischen Modellen mit modernster Netzwerkintelligenz können Sicherheitsteams Anonymisierungsdienste zuverlässig identifizieren, feindliche Infrastrukturen bündeln und diese Hochgeschwindigkeits-Cloud-Bedrohungen unterbrechen.

Sie uns auf

Sie uns auf

Der Beitrag Attackers Deploy AiTM Phishing Pages to Access SharePoint, HubSpot, and Google Workspace erschien zuerst bei Cyber Security News.