Microsoft hat eine ausgeklügelte Phishing-Kampagne aufgedeckt, die Hotels und andere Unternehmen der Hotel- und Tourismusbranche in Europa und Asien ins Visier nimmt.
Die Angreifer tarnen Schadsoftware als Bildanhänge und verleiten Hotelmitarbeiter dazu, diese zu öffnen. Nach dem Öffnen installieren die Dateien Schadsoftware, die Cyberkriminellen einen dauerhaften Zugriff auf die infizierten Systeme ermöglicht.
Microsoft hat die Aktivitäten bislang keiner bekannten Bedrohungsgruppe zugeordnet. Auch das eigentliche Ziel der Angreifer ist weiterhin unklar.
Gefälschte Bilder verbergen Schadsoftware
Die Phishing-Kampagne beginnt mit einer E-Mail, die scheinbar von einem potenziellen Hotelgast stammt.
Die Nachrichten beziehen sich häufig auf Buchungsanfragen, Kundenbeschwerden, Hinweise auf Bettwanzen oder Bewertungen der Unterkunft. Die E-Mail enthält ein ZIP-Archiv, das angeblich Fotos enthält.
Anstelle von Bildern verbirgt das Archiv jedoch Windows-Verknüpfungen, die wie PNG-Dateien aussehen. Da Windows bekannte Dateiendungen standardmäßig ausblendet, glauben Mitarbeiter oft, ein harmloses Bild zu öffnen.
Schadsoftware wird unbemerkt installiert
Beim Öffnen der gefälschten Bilddatei startet unbemerkt eine Kette schädlicher Befehle.
Der Angriff lädt zunächst eine legitime Version von Node.js herunter. Anschließend nutzt er diese, um ein bösartiges JavaScript-Implantat auszuführen.
Die Schadsoftware richtet einen dauerhaften Zugriff ein, sodass sich die Angreifer auch nach einem Neustart des Computers erneut verbinden können.
Laut Microsoft kann die Schadsoftware Zugangsdaten stehlen, Systeminformationen sammeln, Unternehmensnetzwerke ausspähen und später weitere Schadprogramme nachladen.
Vertrauenswürdige Dienste unterstützen den Angriff
Einer der ungewöhnlichsten Aspekte der Kampagne ist die Art und Weise, wie die Angreifer ihre E-Mails zustellen.
Microsoft erklärt, dass die Täter das Benachrichtigungssystem von Calendly zusammen mit dem URL-Weiterleitungsdienst von Google missbrauchen. Das Unternehmen bezeichnet diese Methode als Authentication Laundering.
Da die Nachrichten über legitime Infrastruktur versendet werden, bestehen sie die SPF-, DKIM- und DMARC-Prüfungen. Dadurch lassen sich die Phishing-E-Mails von herkömmlichen E-Mail-Sicherheitslösungen deutlich schwerer erkennen.
Hotels bleiben attraktive Ziele
Hotels bleiben für Cyberkriminelle attraktive Ziele, weil Mitarbeiter täglich Nachrichten von Gästen, Buchungsplattformen und Geschäftspartnern erhalten.
Die Angreifer nutzen diesen Arbeitsablauf aus und erstellen E-Mails, die zugleich glaubwürdig und dringend wirken.
Beschäftigte an der Rezeption, in der Reservierung oder im Kundenservice stehen häufig unter Zeitdruck. Dadurch steigt das Risiko, dass jemand einen schädlichen Anhang öffnet.
Microsoft empfiehlt verhaltensbasierte Erkennung
Microsoft empfiehlt Unternehmen, sich beim Schutz vor Phishing-Angriffen gegen Hotels nicht ausschließlich auf die E-Mail-Authentifizierung zu verlassen.
Stattdessen sollten Sicherheitsteams verdächtige PowerShell-Aktivitäten, unerwartete Node.js-Ausführungen, neue Registry-Einträge zur dauerhaften Verankerung sowie Verbindungen zu kürzlich registrierten Domains überwachen.
Regelmäßige Schulungen zur Cybersicherheit können ebenfalls dazu beitragen, das Risiko zu verringern, dass Mitarbeiter schädliche Anhänge öffnen.
Microsoft hat bislang weder Ransomware-Angriffe gemeldet noch einen Datendiebstahl bestätigt. Das Unternehmen warnt jedoch, dass die Angreifer bereits über eine zuverlässige Methode verfügen, um sich dauerhaft Zugang zu infizierten Systemen zu verschaffen. Deshalb ist eine frühzeitige Erkennung für Hotels und andere Unternehmen der Hotel- und Tourismusbranche entscheidend.
0 Kommentare zu „Microsoft warnt vor Phishing-Kampagne gegen Hotels in Europa und Asien“