Zscaler hat einen Bericht über ein neues Phishing-Kit mit dem Namen „BlackForce“ veröffentlicht, das Man-in-the-Browser (MitB)-Angriffe nutzt, um Anmeldedaten zu stehlen und MFA Authentifizierung zu umgehen. Das Kit „verfügt über ein Überprüfungssystem zur Qualifizierung von Zielen, nach dem ein Live-Operator die geführte Kompromittierung übernimmt“.
Außerdem verwendet das Phishing-Kit größtenteils legitimen Code, um eine Erkennung durch Sicherheitsscanner zu vermeiden.
„Die effektivste Täuschungstaktik des BlackForce-Phishing-Kits ist seine ‚legitim aussehende‘ Codebasis“, so Zscaler. „Unsere Analyse hat ergeben, dass mehr als 99 % des Inhalts der bösartigen JavaScript-Datei aus Produktions-Builds von React und React Router besteht, was ihr einen legitimen Anschein verleiht.
Die BlackForce-Angriffskette läuft wie folgt ab:
- Das Opfer klickt auf den Phishing-Link und wird auf eine vom Angreifer kontrollierte Phishing-Seite geleitet.
- Eine serverseitige Internet Service Provider (ISP)/Hersteller-Blockliste wird auf die IP oder den User-Agent des Opfers angewandt und blockiert jeglichen Datenverkehr, der als Crawler, Scanner.
- Nach der Validierung durch den Benutzer wird die Phishing-Seite angezeigt, die wie eine legitime Website aussieht.
- Das Opfer glaubt, dass die Seite authentisch ist, und gibt seine Anmeldedaten ein, die sofort vom Angreifer abgefangen werden.
- Der Angreifer erhält Echtzeit-Benachrichtigungen über die Sitzung des Opfers und die exfiltrierten Anmeldedaten an sein Command-and-Control (C2)-Panel, das ihn über ein lebendes Ziel informiert. Die gestohlenen Zugangsdaten werden auch über einen Telegram-Kanal an den Angreifer gesendet.
- Der Angreifer versucht, sich mit den gestohlenen Anmeldedaten bei der legitimen Ziel-Website anzumelden, was eine MFA-Authentifizierungsaufforderung auslöst.
- Mithilfe von MitB-Angriffstechniken schickt der Angreifer eine gefälschte MFA-Authentifizierungsseite über das C2-Panel an den Browser des Opfers.
- Der Browser des Opfers zeigt die gefälschte MFA-Seite an, und das Opfer, das nichts von dem Angriff weiß, gibt seinen MFA-Code ein.
Sobald der Angreifer den MFA-Code hat, kann er sich Zugang zum Konto des Opfers verschaffen. Das Opfer wird dann auf die legitime Website des gefälschten Dienstes umgeleitet.
Schulungen zum Sicherheitsbewusstsein mit realistischen Phishing-Simulationen kann den Mitarbeitern helfen, wachsam zu sein, auch wenn sie beschäftigt sind. Wenn die Mitarbeiter wissen, dass sie simulierte Phishing-E-Mails erhalten werden, werden sie die echten eher erkennen.
Zscaler hat die story.