Forscher von Resecurity haben eine neue Phishing-as-a-Service-Plattform namens “EvilProxy” entdeckt, die im Dark Web angeboten wird. EvilProxy wurde entwickelt, um Konten auf einer Vielzahl von Plattformen anzusprechen, darunter Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex.
Insbesondere hat EvilProxy die Möglichkeit, Sitzungscookies zu stehlen, wodurch es die Malware befähigt, auf Konten zuzugreifen, ohne einen Benutzernamen, ein Passwort oder Multifaktor-Authentifizierungstoken (MFA) zu benötigen.
“EvilProxy-Akteure verwenden Reverse-Proxy- und Cookie-Injection-Methoden, um die 2FA-Authentifizierung zu umgehen”, schreiben die Forscher. “Früher wurden solche Methoden in gezielten Kampagnen von APT- und Cyberspionagegruppen gesehen, aber jetzt wurden diese Methoden erfolgreich in EvilProxy produziert, was die Bedeutung des Wachstums von Angriffen auf Online-Dienste und MFA-Autorisierungsmechanismen hervorhebt…. Das Reverse-Proxy-Konzept ist einfach: Die schlechten Akteure führen die Opfer auf eine Phishing-Seite, verwenden den Reverse-Proxy, um alle legitimen Inhalte abzurufen, die der Benutzer erwartet, einschließlich Anmeldeseiten – es schnüffelt Ihren Datenverkehr, während er durch den Proxy geht. Auf diese Weise können sie gültige Session-Cookies sammeln und die Notwendigkeit umgehen, sich mit Benutzernamen, Passwörtern und/oder 2FA-Token zu authentifizieren.“
EvilProxy wird für 400 Dollar pro Monat angeboten und verlangt von den Kunden, sich einem Überprüfungsprozess zu unterziehen, um zu verhindern, dass Forscher es in die Hände bekommen. Das Kit verfügt auch über umfangreiche Anti-Analyse-Funktionen.
Da die Plattform auch sehr einfach zu bedienen ist wird die Messlatte für unerfahrene Angreifer weiter gesenkt, um anspruchsvolle Phishing-Angriffe durchzuführen.
“Das Portal von EvilProxy enthält mehrere Tutorials und interaktive Videos zur Nutzung des Dienstes und Konfigurationstipps”, schreiben die Forscher. “Um ehrlich zu sein – die schlechten Akteure haben großartige Arbeit in Bezug auf die Service-Usability und Konfigurierbarkeit neuer Kampagnen, Verkehrsströme und Datenerfassung geleistet.”
Schulungen zur Sensibilisierung für das Sicherheitsbewusstsein können es Ihren Mitarbeitern ermöglichen, bewährte Sicherheitsmethoden zu befolgen, damit sie nicht auf Social-Engineering-Angriffe hereinfallen können.
Kostenloser Phishing-Sicherheitstest
Würden Ihre Benutzer auf überzeugende Phishing-Angriffe hereinfallen? Machen Sie jetzt den ersten Schritt und finden Sie es heraus, bevor es Cyberkriminelle tun. Außerdem erfahren Sie, wie Sie sich mit Phishing-Branchen-Benchmarks im Vergleich zu Ihren Mitbewerbern behaupten. Der Phish-Prone Prozentsatz ist in der Regel höher als erwartet und ist eine großartige Möglichkeit, um ein Budget für Sicherheitsbewusstseinstrainings zu erhalten.
Und so funktioniert’s:
- Starten Sie sofort Ihren Test für bis zu 100 Benutzer
- Passen Sie die Phishing-Testvorlage auf Ihre Umgebung an
- Wählen Sie die Zielseite aus, die Ihre Benutzer sehen, nachdem sie geklickt haben
- Zeigen Sie den Benutzern, welche roten Flags sie verpasst haben
- Erhalten Sie innerhalb von 24 Stunden eine PDF-Datei per E-Mail mit Ihrem Phish-Prone Prozentsatz und Diagrammen, die Sie mit dem Management teilen können
- Sehen Sie, wie Ihre Organisation im Vergleich zu anderen in Ihrer Branche abschneidet.