Entschlüsselung moderner Phishing-Angriffstaktiken: Von Cloudflare-Mitarbeitern bis hin zu HTML-Schmuggel

Teil 1: Die Cloudflare-Workers-Betrugskampagne

Cybersicherheitsexperten warnen vor mehreren Phishing-Kampagnen, die Cloudflare Workers ausnutzen, um Anmeldedaten von Nutzern zu stehlen. Diese Phishing-Websites zielen auf Nutzer von Diensten wie Microsoft, Gmail, Yahoo! und cPanel Webmail ab.

Hierbei nutzte der Angreifer die sogenannte „ Adversary-in-the- Middle“ -Technik (AitM). Um den Angriff durchzuführen, verwendete er Cloudflare Workers als gefälschten Zwischenserver. Sobald ein Nutzer eine legitime Anmeldeseite aufrief, fingen die Cloudflare Workers die Daten zwischen dem Nutzer und der eigentlichen Anmeldeseite ab und leiteten sie weiter.

Methoden des „Mittelsmannbetrugs“

Im Wesentlichen erfolgt diese Art von Angriff in folgenden vier Schritten:

• Schritt 1: Der Hacker versendet Phishing-E-Mails an den Benutzer.

Die Angreifer versenden Phishing-E-Mails mit Links zu gefälschten Webseiten. Diese E-Mails können von einer vertrauenswürdigen Quelle stammen und enthalten Nachrichten, die Benutzer zum Anklicken des Links verleiten sollen.

• Schritt 2: Der Benutzer klickt auf die E-Mail und wird auf eine Phishing-Website weitergeleitet, die über Cloudflare läuft.

Nutzer erhalten E-Mails und klicken auf darin enthaltene Links, die sie auf eine gefälschte Website weiterleiten. Diese Website wird über Cloudflare Workers gehostet, daher werden Nutzeranfragen über Cloudflare Workers geleitet.

• Schritt 3: Cloudflare leitet die Anfrage des Nutzers an die legitime Website weiter.

Wenn ein Nutzer seine Anmeldedaten auf einer gefälschten Website eingibt, speichert Cloudflare Workers diese Informationen (einschließlich Benutzername, Passwort und gegebenenfalls Zwei-Faktor-Authentifizierungscode). Anschließend leitet Cloudflare Workers diese Anfrage an die legitime Website weiter. Nutzer können sich weiterhin problemlos auf der legitimen Website anmelden.

• Schritt 4: Cloudflare zeichnet Benutzerinformationen auf und sendet sie an den Hacker.

Cloudflare-Mitarbeiter zeichnen Benutzeranmeldeinformationen auf und senden diese an einen Angreifer. Dieser kann die Informationen dann nutzen, um auf das Benutzerkonto zuzugreifen und schädliche Aktionen durchzuführen.

Teil 2: HTML-Schmuggeltechniken und Strategien zur Sammlung von Anmeldeinformationen

HTML-Smuggling ist eine ausgeklügelte Angriffsmethode, mit der Angreifer unbemerkt Phishing-Seiten direkt im Browser des Benutzers erstellen.

So führt man einen HTML-Schmuggelangriff durch.

Im Wesentlichen läuft der HTML-Schmuggelangriff in den folgenden fünf Hauptschritten ab:

• Schritt 1: Der Angreifer versendet eine Phishing-E-Mail.

Der Angreifer erstellt eine Phishing-E-Mail, in der er sich als vertrauenswürdige Quelle ausgibt, beispielsweise als Organisation oder Dienst, den das Opfer häufig nutzt. Diese E-Mail enthält einen schädlichen Link oder einen HTML-Anhang. Der E-Mail-Inhalt enthält oft eine überzeugende oder dringende Nachricht, die das Opfer dazu verleiten soll, den Link oder Anhang zu öffnen, beispielsweise eine Benachrichtigung über ein gesperrtes Konto oder ein wichtiges Dokument, das sofortige Aufmerksamkeit erfordert.

• Schritt 2: Der Benutzer erhält die E-Mail und öffnet den Link/Anhang.

Nutzer erhalten Phishing-E-Mails und klicken ahnungslos auf den Link oder öffnen den HTML-Anhang. Dadurch lädt und führt ihr Browser den im HTML-Dokument oder Link enthaltenen schädlichen JavaScript-Code aus. Dieser Code ist so konzipiert, dass er direkt im Browser des Nutzers ausgeführt wird, ohne dass zusätzliche Software heruntergeladen werden muss.

• Schritt 3: JavaScript-Code erstellt die Phishing-Seite direkt im Browser des Benutzers.

Schadcode in JavaScript generiert automatisch eine Phishing-Seite und zeigt sie im Browser des Nutzers an. Diese Phishing-Seite sieht oft der legitimen Anmeldeseite eines Online-Dienstes wie Microsoft, Gmail oder eines anderen Dienstes, den das Opfer regelmäßig nutzt, sehr ähnlich. Dadurch erkennt das Opfer nicht, dass es sich auf einer gefälschten Seite befindet.

• Schritt 4: Der Benutzer gibt seine Anmeldeinformationen auf der Phishing-Seite ein.

Zweifellos geben Nutzer ihre Anmeldedaten auf der Phishing-Seite ein. Dazu gehören Benutzernamen, Passwörter und gegebenenfalls Codes für die Zwei-Faktor-Authentifizierung (MFA), falls diese angefordert werden. Die Phishing-Seite ist so konzipiert, dass sie all diese Informationen heimlich aufzeichnet.

• Schritt 5: Die Anmeldeinformationen werden an den Server des Hackers gesendet.

Wenn ein Nutzer seine Anmeldedaten auf einer Phishing-Website eingibt, sendet bösartiger JavaScript-Code diese Informationen an den Server des Hackers. Dadurch kann der Angreifer die Anmeldedaten des Opfers, einschließlich Benutzername, Passwort und Zwei-Faktor-Authentifizierungscode, abfangen. Mit diesen Informationen kann der Angreifer unbefugten Zugriff auf das Konto des Opfers erlangen.

Teil 3: Empfehlungen für Anwender zu Präventionsmaßnahmen

Um sich vor den oben genannten, immer ausgefeilteren Cyberangriffsmethoden zu schützen, müssen Nutzer verschiedene Präventivmaßnahmen ergreifen, um die Risiken zu minimieren. Hier einige wichtige Empfehlungen:

• Sensibilisierung für Cybersicherheit

In der heutigen digitalen Welt entwickeln sich Cyberangriffsmethoden ständig weiter und werden immer ausgefeilter. Daher ist es extrem wichtig, sein Wissen über die neuesten Cybersicherheitsbedrohungen regelmäßig zu aktualisieren. Nutzer sollten proaktiv zuverlässige und aktuelle Informationsquellen nutzen, um die Risiken zu verstehen und zu wissen, wie sie sich davor schützen können.

• Verwendung der Zwei-Faktor-Authentifizierung (2FA):

Die Zwei-Faktor-Authentifizierung bietet eine zusätzliche Sicherheitsebene. Selbst wenn ein Angreifer Ihre Anmeldedaten erlangt, benötigt er einen zweiten Bestätigungscode, um auf Ihr Konto zugreifen zu können.

• Vor dem Handeln stets prüfen und verifizieren.

Bitte prüfen Sie alle Anhänge und Links sorgfältig, bevor Sie darauf klicken.

ÜBERLEGE GUT, BEVOR DU DIE MAUS KLICKST!!!

• Verwenden Sie Antivirensoftware.

Antivirensoftware kann verschiedene Arten von Schadsoftware wie Viren, Trojaner, Ransomware, Spyware und andere Bedrohungen scannen und erkennen. Nach der Erkennung entfernt oder isoliert sie die Schadsoftware, um Ihr System zu schützen.

Im heutigen digitalen Zeitalter werden Cyberangriffe immer raffinierter und schwerer zu erkennen. Daher ist es entscheidend, Phishing-Kampagnen mithilfe von Cloudflare Workers und HTML-Smuggling zu verstehen und zu verhindern. Um sich zu schützen, sollten Nutzer ihre Kenntnisse im Bereich Cybersicherheit regelmäßig aktualisieren, Passwortmanager verwenden, Antivirensoftware installieren und die Zwei-Faktor-Authentifizierung aktivieren. Diese Maßnahmen schützen nicht nur persönliche Daten, sondern tragen auch zur Verbesserung der Cybersicherheit für die gesamte Gesellschaft bei.

— Zusammengestellt vom Sicherheits- und Ordnungsausschuss —

Quelle: https://www.misa.vn/147167/giai-ma-cac-chien-thuat-tan-cong-phishing-hien-dai-tu-cloudflare-workers-den-html-smuggling/