Bluekit-Phishing-Kit erweitert Browser-in-the-Middle-Angriffe zum Diebstahl von Konten

Das Bluekit-Phishing-Kit hat ein umfangreiches Upgrade erhalten, das Cyberkriminellen den Diebstahl authentifizierter Benutzersitzungen deutlich erleichtert. Sicherheitsforscher haben entdeckt, dass die Phishing-as-a-Service (PhaaS)-Plattform nun Browser-in-the-Middle (BitM)-Angriffe unterstützt. Damit ersetzt sie ihre bisherige Methode zur Datenabfangung durch eine wesentlich fortschrittlichere Technik zur Kompromittierung von Online-Konten.

Die aktuelle Version enthält außerdem neue Umgehungsfunktionen, die es Sicherheitsforschern und automatisierten Sicherheitssystemen erschweren, die Plattform zu erkennen.

Bluekit erweitert seine Phishing-Funktionen

Bluekit wurde Anfang dieses Jahres bekannt, nachdem Forscher eine Phishing-Plattform entdeckt hatten, die KI-gestützte E-Mail-Erstellung mit anpassbaren Phishing-Seiten kombiniert. Der Dienst unterstützt mehrere große Sprachmodelle und ermöglicht es den Betreibern, innerhalb kurzer Zeit überzeugende Phishing-E-Mails für zahlreiche Online-Dienste zu erstellen.

Ursprünglich bot die Plattform rund 40 Phishing-Vorlagen für Dienste wie Outlook, Gmail, Yahoo, ProtonMail, iCloud, GitHub und Ledger an.

Seitdem haben Forscher fast 70 neue Hostnamen identifiziert, die mit Bluekit in Verbindung stehen. Dies deutet darauf hin, dass die Infrastruktur der Kampagne weiter wächst.

Browser-in-the-Middle verbessert den Kontodiebstahl

Laut einem neuen Bericht von Netcraft setzt Bluekit inzwischen auf Browser-in-the-Middle statt auf den zuvor verwendeten Adversary-in-the-Middle-Ansatz.

Anstatt den Opfern eine gefälschte Anmeldeseite anzuzeigen, präsentiert die Plattform die echte Webseite innerhalb einer Browsersitzung, die der Angreifer aus der Ferne steuert. Sämtliche Mausbewegungen und Tastatureingaben werden an den Browser des Angreifers weitergeleitet, während die Antworten der legitimen Webseite an das Opfer zurückgesendet werden.

Möglich wird dies durch den Einsatz von rrweb, einer Open-Source-JavaScript-Bibliothek, die normalerweise für Sitzungsaufzeichnungen und Analysen verwendet wird.

Die Forscher betonen ausdrücklich, dass rrweb selbst eine legitime Software ist und außerhalb dieses Angriffsszenarios nicht als Schadsoftware betrachtet werden sollte.

Da sich das Opfer auf der echten Webseite anmeldet, erhält der Angreifer nach Abschluss der Authentifizierung ein gültiges Sitzungstoken. Damit kann er auf das kompromittierte Konto zugreifen, ohne Benutzername und Passwort erneut eingeben zu müssen.

Während einer Phishing-Sitzung können Nutzer leichte Verzögerungen beim Tippen oder Klicken bemerken, da sämtliche Browserinteraktionen über die Infrastruktur der Angreifer geleitet werden.

Neue Schutzmechanismen gegen Sicherheitsforscher

Die aktualisierte Version des Bluekit-Phishing-Kits enthält außerdem mehrere Mechanismen, die Sicherheitsforscher bereits vor Beginn des eigentlichen Phishing-Angriffs erkennen sollen.

Zu den neuen Anti-Analyse-Techniken gehören zufällig generierte CSS-Filter, die Screenshot-basierte Erkennung erschweren, stark verschleierte JavaScript-Dateien mit regelmäßig wechselndem Code, gefälschte CAPTCHA-Seiten im Stil von Cloudflare oder der jeweiligen Zielmarke, Browser-Fingerprinting sowie WebRTC-basierte IP-Prüfungen, mit denen VPN- und Proxy-Verbindungen erkannt werden können.

Diese Maßnahmen erschweren es Sicherheitsteams erheblich, Phishing-Seiten zu analysieren oder die dahinterstehende Infrastruktur automatisiert zu identifizieren.

Echtzeitüberwachung der Opfer bleibt erhalten

Netcraft bestätigte außerdem, dass Bluekit weiterhin das bereits von Varonis dokumentierte Dashboard zur Echtzeitüberwachung bereitstellt.

Die Oberfläche aktualisiert sich alle fünf Sekunden und ermöglicht es den Angreifern, die Interaktionen der Opfer während des Phishing-Angriffs live zu verfolgen.

Die Betreiber können Anmeldeversuche in Echtzeit überwachen und die Aktivitäten auch nach einer erfolgreichen Anmeldung weiter beobachten.

Sicherheitsteams sollten auf Verhaltensmuster achten

Anstelle klassischer Indicators of Compromise (IoCs) empfehlen die Forscher, nach einer Kombination verdächtiger Verhaltensweisen zu suchen, die typisch für Bluekit sind.

Zu den möglichen Warnsignalen gehören ungewöhnliche CSS-Manipulationen, häufig wechselnde verschleierte JavaScript-Dateien, Browser-Fingerprinting, WebSocket-Verbindungen mit verschlüsselten oder binären Daten auf Anmeldeseiten sowie WebRTC-Prüfungen, die die IP-Adresse des Besuchers vergleichen.

Keines dieser Merkmale allein weist eindeutig auf einen Angriff hin. Treten jedoch mehrere gleichzeitig auf, kann dies auf eine aktive Bluekit-Phishing-Kampagne hindeuten.

Warum das Update wichtig ist

Die Einführung von Browser-in-the-Middle zeigt, wie sich moderne Phishing-Plattformen weit über den einfachen Diebstahl von Benutzernamen und Passwörtern hinaus entwickeln.

Durch den Diebstahl authentifizierter Sitzungen können Angreifer bestimmte Sicherheitsmechanismen umgehen und sich sofortigen Zugriff auf Benutzerkonten verschaffen.

Unternehmen sollten ihre Mitarbeiter daher weiterhin über Phishing-Risiken aufklären, ungewöhnliche Anmeldeaktivitäten überwachen und möglichst phishing-resistente Authentifizierungsverfahren einsetzen.