Innovativer Tarnmechanismus
Das Cybersicherheitsunternehmen Kela hat eine hochentwickelte Phishing-Kampagne entdeckt, die auf Finanzinstitute abzielt. Die Angreifer setzen dabei auf eine trägereische Technik, die Sicherheitsteams und Abschaltungsdienstleister daran hindert, bösartige Inhalte zu erkennen. Die Kampagne basiert auf der Protokollierung der IP-Adressen von Besuchern: Während der erste Besucher eine gefälschte Bank-Anmeldeseite sieht, stößt jeder nachfolgende Besucher (einschließlich Sicherheitsprüfungstools) auf eine Seite, die wie ein „gesperrtes Konto“ eines Hosting-Anbieters aussieht, was den Eindruck erweckt, die Website sei bereits abgeschaltet worden.
Warum diese Nachricht wichtig ist
Die Gefahr dieser Infrastruktur liegt in ihrer Fähigkeit, traditionelle Schutzmaßnahmen zu umgehen. Wenn ein Sicherheitsteam oder ein Dienstleister eine verdächtige Website meldet, überprüft er diese normalerweise erneut, um die Abschaltung zu bestätigen. In diesem Fall wird den Ermittlern die gefälschte Seite angezeigt, was dazu führt, dass die Domain als „inaktiv“ eingestuft wird, während die Website weiterhin neue Opfer angreift. Diese Taktik macht es für Incident-Response-Teams schwierig, die Kampagne effektiv zu stoppen, da die Aufdeckung des tatsächlichen Inhalts für jeden Prüfvorgang eine neue IP-Adresse erfordert.
Details und Umfang der Kampagne
Die Kampagne begann im Mai 2026 und breitete sich auf über 300 gefälschte Domains aus, von denen 248 etwa 189 US-Finanzinstitute ins Visier nahmen, wobei ein besonderer Schwerpunkt auf mittelgroßen Regionalbanken lag. Untersuchungen zeigten zudem, dass sich die Kampagne auf Opfer im Vereinigten Königreich, in Australien und Neuseeland erstreckt. Die Websites verwenden Namensmuster, die auf Wörtern wie „secure“ oder „authorize“ gefolgt vom Namen der Bank basieren. Zudem taucht eine neue Kategorie auf, die Bezeichnungen wie „help-desk“ und „live-support“ verwendet, um Support-Portale zu imitieren.
Herausforderungen bei der Bekämpfung
Kela identifiziert vier Faktoren, die diese Infrastruktur schwer zu stoppen machen:
- Einfaches Benennungsformat: Kann für jedes Finanzinstitut leicht repliziert werden.
- Nutzung von Cloudflare: Zum Verbergen des tatsächlichen Hosting-Standorts.
- Tarnungstechnik: Anzeige einer „gesperrten“ Seite beim zweiten Besuch, um Prüfer zu täuschen.
- Shared Server: Die Kontinuität der Kampagne garantieren, selbst wenn eine einzelne Domain abgeschaltet wird.
Die Ergebnisse deuten darauf hin, dass die Kampagne hauptsächlich auf Anmeldedaten für Firmen- und Tresor-Banking abzielt und Skripte verwendet, um die Nutzung von Entwicklertools in Browsern zu verhindern, was die technische Analyse der Website weiter kompliziert.