Gefälschte KI-Websites, die sich als ChatGPT, Gemini, Claude und Perplexity ausgeben, zielen mit betrügerischen Aufforderungen zur Kontoverknüpfung auf Werbefachleute ab. Die Kampagne verwendet überzeugende Anmeldefenster, um Passwörter und Codes für die Multi-Faktor-Authentifizierung zu sammeln.
Forscher des Browser-Sicherheitsunternehmens Island identifizierten Seiten, die auf Agenturmitarbeiter, Medieneinkäufer und Administratoren von Werbekonten abzielen. Diese Nutzer verwalten häufig den Zugriff auf mehrere Kunden, wodurch sich die Auswirkungen der Kompromittierung eines einzelnen Kontos potenziell ausweiten können.
Die Operation nutzt außerdem das Interesse an Metas kürzlich eingeführtem KI-Assistenten Muse aus und präsentiert betrügerische Werbetools unter vertrautem KI-Branding.
Werbetools dienen als Köder
Die gefälschten KI-Websites versprechen Dienste wie das Finden von Käufern, das Erstellen von Werbebriefings und die Überprüfung von Kampagnenausgaben. Besucher müssen jedoch angeblich ein bestehendes Konto verknüpfen, bevor sie auf diese Funktionen zugreifen können.
Beim Klicken auf die Schaltfläche zur Verknüpfung öffnet sich ein Fenster, das wie ein Google-Anmeldefenster aussieht. In der imitierten Adressleiste wird accounts.google.com angezeigt, wodurch die Aufforderung legitim erscheint.
In Wirklichkeit ist die Anmeldeoberfläche Teil der von den Angreifern kontrollierten Webseite. Die Eingabe von Anmeldedaten übermittelt diese an die Phishing-Operation.
Werbekonten bieten mehrere Möglichkeiten für Missbrauch. Angreifer können verfügbare Guthaben für betrügerische Kampagnen verwenden oder den Zugang an andere Kriminelle verkaufen. Gleichzeitig können Konten, die mit mehreren Kunden verknüpft sind, einen Weg zu weiteren Werbeaktivitäten eröffnen.
Gefälschte Browserfenster imitieren vertraute Anmeldebildschirme
Die Kampagne verwendet eine Technik, die als Browser-in-the-Browser-Phishing bekannt ist. Dabei wird innerhalb einer Webseite ein Browser-Anmeldefenster nachgebildet, einschließlich visueller Details, die Nutzer mit einem vertrauenswürdigen Anmeldevorgang verbinden.
Laut Island passt das Phishing-Kit sein Erscheinungsbild an Windows, macOS, iOS und Android an. Es unterstützt außerdem verschiedene Browserstile und den Dunkelmodus.
Diese Anpassungen sorgen dafür, dass das betrügerische Fenster zum Gerät des Opfers passt. Die Adressleiste innerhalb dieses Fensters ist jedoch lediglich Teil der imitierten Benutzeroberfläche.
Die Plattform unterstützt Anmeldeabläufe, die Google, Meta, TikTok und Okta imitieren, wodurch die Betreiber mehrere Möglichkeiten haben, ihre Ziele anzusprechen.
Menschliche Betreiber steuern Passwort- und MFA-Abfragen
Sobald ein Besucher den Phishing-Prozess beginnt, kann ein menschlicher Betreiber entscheiden, welche Aufforderungen als Nächstes angezeigt werden.
Der Betreiber kann bis zu dreimal ein Passwort anfordern oder nach einem SMS- oder Authentifizierungscode fragen. Weitere Optionen umfassen die Anzeige von Google-Genehmigungsaufforderungen, Okta-Push-Anfragen oder QR-Codes.
Folglich endet der Angriff nicht mit dem Sammeln eines Benutzernamens und Passworts. Er versucht außerdem, die zusätzlichen Codes oder Genehmigungen zu erhalten, die für den Abschluss einer Anmeldung erforderlich sind.
Die Betreiber können übermittelte Codes ablehnen, Opfer auf Wartebildschirmen lassen oder die Interaktion beenden. Diese Kontrolle ermöglicht es ihnen, den Phishing-Prozess während seines Verlaufs anzupassen.
Gemeinsame Infrastruktur deutet auf eine umfassendere Operation hin
Island brachte die Werbeseiten mit einer umfassenderen Kampagne in Verbindung, die gefälschte Stellenangebote und Rückerstattungsangebote umfasst.
Die Forscher identifizierten gemeinsame Softwarekomponenten, API-Endpunkte und Hosting-Muster auf den verschiedenen Seiten. Darüber hinaus legten falsch konfigurierte öffentliche Code-Repositories älteren Quellcode offen, wodurch sie die Operation bis in den März zurückverfolgen konnten.
Ein Telegram-Kontrollkanal hatte Hunderte von Eingaben von Opfern erhalten. Diese Zahl belegt jedoch nicht, wie viele Konten die Angreifer erfolgreich kompromittiert haben.
Die Forscher identifizierten Dutzende URLs, die mit den Werbe-, Rekrutierungs- und Rückerstattungskampagnen in Verbindung stehen.
Das imitierte Fenster bleibt innerhalb der Webseite
Ein hilfreiches Warnzeichen betrifft das Verhalten des Anmeldefensters. Ein echtes separates Browser-Popup kann über die Grenzen des ursprünglichen Browserfensters hinaus verschoben werden. Eine in eine Webseite eingebettete Imitation kann dies nicht.
Auch bei der angezeigten Anmeldeadresse ist Vorsicht geboten: Eine vertrauenswürdige Domain, die innerhalb einer Seite dargestellt wird, bestätigt nicht, wohin die übermittelten Informationen gesendet werden.
Island stellte fest, dass diese Plattform die Anmeldebildschirme der Anbieter lokal nachbildet und Anmeldedaten sowie Authentifizierungsinformationen über ihre eigenen APIs sammelt. Dadurch kann der sichtbare Datenverkehr wie eine Kommunikation zwischen einem KI-Dienst und einem separaten Anwendungs-Backend aussehen.
0 Kommentare zu „Gefälschte KI-Websites zielen mit Passwort- und MFA-Diebstahl auf Werbekonten ab“