Rund 390.000 Phishing-Angriffe liefen binnen zwölf Monaten über bekannte Cloud-Dienste. Das zeigt, wie stark Cyberkriminelle inzwischen auf etablierte Cloud-Infrastrukturen setzen. Nach Angaben von Kaspersky missbrauchten die Angreifer unter anderem Cloudflare Workers, Vercel, Netlify, GitHub Pages und das InterPlanetary File System (IPFS).
Warum bekannte Cloud-Domains als Tarnung dienen
Der Vorteil für die Täter liegt in der Reputation dieser Plattformen: Sicherheitslösungen und Nutzer stufen bekannte Cloud-Domains nicht automatisch als verdächtig ein. Hinzu kommen kostenfreie Tarife und Werkzeuge, mit denen sich Bestandteile einer Phishing-Kampagne ganz ohne eigene Serverinfrastruktur umsetzen lassen. „Angreifer missbrauchen legitime Dienste, da diese über eine hohe Reputation sowie kostenfreie Tarife oder Tools verfügen, die sich für ihre Zwecke ausnutzen lassen", erklärt Olga Altukhova, Cybersicherheitsexpertin bei Kaspersky. „In dem von uns identifizierten Beispiel konnten die Phishing-Akteure einen mehrstufigen Adversary-in-the-Middle-Angriff umsetzen. Dabei leiteten sie den gesamten Datenverkehr einer vermeintlich legitimen Microsoft-Webseite weiter und kombinierten diesen Ansatz mit Browser-in-the-Browser-Techniken."
Vier Stationen bis zum gefälschten Login
Die Kampagne beginnt mit einer E-Mail, die den Eindruck erweckt, von einem bekannten Kontakt zu stammen. Ein Link darin führt zu einer angeblichen Microsoft-Kontoanmeldung, der eigentliche Angriff läuft aber über mehrere vorgeschaltete Seiten. Zunächst fordert eine vermeintliche Anti-Bot-Prüfung im CAPTCHA-Stil die geschäftliche E-Mail-Adresse an. Diese wird anschließend über Cloudflare Workers an eine Subdomain übergeben, wo sie im URL-Hash steckt und ausgelesen werden kann, ohne dass die Folgeseite direkt auf einen Server der Angreifer zugreifen muss. Danach folgt eine zweite, diesmal tatsächlich funktionierende CAPTCHA-Prüfung, die aber erst während des Seitenaufrufs dynamisch eingebunden wird, was automatisierte Analysen erschwert. Am Ende steht ein nachgebautes Microsoft-365-Fenster, das per Browser-in-the-Browser-Technik ein echtes Anmeldefenster simuliert.
Diese letzte Stufe dient nicht nur der Täuschung. Über das Formular greifen die Angreifer Nutzernamen, Passwörter, MFA-Codes und Sitzungs-Cookies ab. Anschließend landet das Opfer häufig auf einer allgemeinen Fehlerseite, sodass der Vorgang wie ein fehlgeschlagener Login wirkt, obwohl die Zugangsdaten bereits abgeflossen sind.
MFA schützt nicht gegen jeden Angriff
Die Kampagne zeigt eine Schwachstelle in der verbreiteten Annahme, Multi-Faktor-Authentifizierung mache Phishing weitgehend wirkungslos. In diesem Fall fragen die Angreifer neben dem Passwort auch den MFA-Code ab und übertragen zusätzlich die Sitzung des Nutzers, ein Vorgehen, das Kaspersky als mehrstufigen Adversary-in-the-Middle-Angriff einordnet. Damit verschiebt sich die Abwehr: Es zählt nicht mehr nur der Schutz des Kontos, sondern auch die Prüfung des Anmeldekontexts und der aufgerufenen Seite. Bekannte Cloud-Dienste sind dabei kein verlässliches Echtheitssignal, gerade ihre legitime Infrastruktur macht solche Kampagnen für klassische Filter schwerer erkennbar.
So schützt du dich
Prüfe CAPTCHA-Abfragen kritisch, sie verlangen normalerweise keine persönlichen Informationen wie eine E-Mail-Adresse. Hinterfrage unerwartete Anmeldeaufforderungen grundsätzlich, auch auf bekannten Cloud-Domains oder mit gültigem SSL-Zertifikat lässt sich Phishing betreiben. Kontrolliere bei Verdacht die Adressleiste deines Hauptfensters: Bei Browser-in-the-Browser-Angriffen lassen sich Fensterrahmen und Adressleisten innerhalb einer Webseite nachbilden, die echte Adressleiste des Browsers selbst aber nicht verändern. Halte Browser und Sicherheitserweiterungen aktuell, und setze idealerweise eine Mail-Sicherheitslösung ein, die nicht nur die Reputation einer Domain bewertet, sondern auch Skripte und dynamisch eingebundene Inhalte prüft.