Phishing-Betrug gegen Crédit Agricole nutzte gestohlene E-Mail-Schlüssel und gefälschte Anrufe

Eine ausgeklügelte Phishing-Kampagne gegen Crédit Agricole nutzte gestohlene Zugangsdaten für E-Mail-Dienste, offengelegte Cloud-Dateien und sorgfältig geplante Telefonanrufe, um Bankkunden zu betrügen.

Forscher entdeckten die Kampagne am 19. Juni, nachdem sie einen öffentlich zugänglichen Server gefunden hatten, der für den Betrieb der Betrugsaktion genutzt wurde. Die Phishing-Infrastruktur enthielt Datensätze von 912 Personen, die ihre Bankzugangsdaten eingegeben hatten, sowie 83 Zahlungen an die Betrüger.

Die Angreifer gaben sich als Crédit Agricole aus, eines der größten Finanzinstitute Europas. Durch die Nutzung legitimer geschäftlicher E-Mail-Infrastruktur machten sie ihre betrügerischen Nachrichten schwerer erkennbar und schwieriger zu blockieren.

Die Forscher informierten Crédit Agricole und das französische CERT, nachdem sie die Operation entdeckt hatten. Die Bank und die zuständigen Behörden wurden um eine Stellungnahme gebeten.

Angreifer nutzten gestohlene E-Mail-Zugangsdaten

Die Phishing-Kampagne gegen Crédit Agricole begann mit dem Diebstahl von Zugangsdaten für legitime E-Mail-Versanddienste.

Den Forschern zufolge durchsuchten die Kriminellen öffentlich zugängliche Amazon-Cloud-Speicher-Buckets nach sensiblen Dateien. Sie suchten nach Umgebungsdateien, Datenbanksicherungen, Python-Konfigurationsdateien und Vim-Swap-Dateien, die Zugangsdaten für SendGrid oder Amazon Simple Email Service enthalten konnten.

Unternehmen nutzen SendGrid und Amazon SES häufig, um große Mengen legitimer E-Mails zu versenden, darunter Rechnungen, Passwort-Zurücksetzungen, Marketingkampagnen und Servicebenachrichtigungen.

Dadurch waren die gestohlenen Schlüssel besonders wertvoll. Anstatt Phishing-E-Mails von verdächtigen Servern zu versenden, konnten die Angreifer vertrauenswürdige Unternehmensinfrastruktur nutzen. Dadurch war es wahrscheinlicher, dass ihre Nachrichten die Posteingänge erreichten und von den Empfängern als legitim angesehen wurden.

Zum Zeitpunkt der Untersuchung verfügte die Operation über 149 gestohlene SendGrid-API-Schlüssel und drei kompromittierte AWS-Konten. Zusammen konnten diese Konten rund 7.000 E-Mails pro Tag versenden.

Die Angreifer testeten zunächst die gestohlenen Konten, um deren Versandlimits und Abonnementstufen zu ermitteln. So konnten sie entscheiden, welche Dienste sich für die größten Phishing-Kampagnen eigneten.

Die Kriminellen bauten eine umfangreiche Zielliste auf

Die Gruppe verließ sich nicht auf eine einfache gekaufte Mailingliste. Stattdessen stellten die Forscher fest, dass die Angreifer die Internet-Infrastruktur in mehreren Schritten kartierten.

Sie begannen mit einer Ausgangsliste von 220.000 IP-Adressen, die bekanntermaßen Websites hosteten. Anschließend durchsuchten sie benachbarte Adressen innerhalb derselben Netzwerkbereiche und entdeckten weitere 250.000 IP-Adressen.

Danach verknüpften die Angreifer diese Adressen mithilfe von DNS-Abfragen und SSL Certificate Transparency-Protokollen mit Domains. Zusätzlich ergänzten sie Informationen aus den weltweit eine Million größten Domains.

Dieser Prozess verschaffte den Kriminellen einen großen Pool potenzieller Opfer und half ihnen gleichzeitig dabei, Organisationen zu identifizieren, die sich als glaubwürdige Ziele für Identitätsmissbrauch eigneten.

Anschließend filterten die Betrüger Cloud-Anbieter, statische Unternehmens-IP-Bereiche und allgemeine virtuelle private Server heraus. Die Forscher gehen davon aus, dass dies dazu beitrug, Sicherheits-Honeypots zu vermeiden und das Risiko einer Entdeckung zu verringern.

Danach scannten sie die Ziele nach offengelegten Konfigurationsdateien, während sie gleichzeitig Phishing-E-Mails an Mitarbeiter verschickten. Die Kontaktdaten der Mitarbeiter stammten vermutlich von kommerziellen Business-Intelligence-Plattformen.

Dieser doppelte Ansatz eröffnete den Angreifern zwei mögliche Wege in ein Ziel. Eine Organisation konnte technische Geheimnisse durch schlecht gesicherte Cloud-Ressourcen preisgeben, während ihre Mitarbeiter Opfer der Phishing-Kampagne gegen Crédit Agricole werden konnten.

Gestohlene Bankdaten halfen Betrügern bei der Vorbereitung von Anrufen

Die von den Forschern analysierte Phishing-E-Mail war auf Französisch verfasst. Sie forderte die Empfänger auf, die Registrierung eines vertrauenswürdigen Geräts zu erneuern, da sie sonst den Zugriff auf ihr Konto verlieren würden.

Auch wenn diese Nachricht für sich genommen verdächtig wirken konnte, erschien sie deutlich glaubwürdiger, wenn sie von einer E-Mail-Adresse eines legitimen Unternehmensdienstes verschickt wurde.

Die gefälschten Banking-Seiten sammelten die Zugangsdaten der Opfer. Die Angreifer nutzten diese Informationen jedoch nicht sofort für offensichtliche betrügerische Transaktionen.

Stattdessen meldete sich das Phishing-Panel automatisch bei den Konten der Opfer an und sammelte zusätzliche Informationen. Dazu gehörten der Kontostand, der Name der örtlichen Filiale und der Name des Kundenberaters.

Die Forscher gehen davon aus, dass diese Informationen den Kriminellen halfen, wertvolle Ziele auszuwählen und spätere Telefonanrufe glaubwürdiger erscheinen zu lassen.

Anstatt sich ausschließlich auf gestohlene Zugangsdaten zu verlassen, nutzte die Gruppe Social Engineering, um die Opfer zur Bezahlung eines gefälschten Dienstes zu bewegen. Kenntnisse über die Filiale, den Berater und den Kontostand eines Kunden konnten einen Anrufer deutlich glaubwürdiger erscheinen lassen.

Phishing-Betreiber konkurrierten um Zahlungen der Opfer

Die Operation umfasste außerdem eine Rangliste für Phishing-Betreiber. Die Forscher stellten fest, dass das Panel mehrere Benutzer unterstützte und während der Untersuchung sieben Konten registriert waren.

Das System motivierte die Betrüger dazu, darum zu konkurrieren, wer den höchsten Gewinn aus den Opfern erzielen konnte. Screenshots des Dashboards zeigten, dass der Preis für den erfolgreichsten Betreiber 3.000 Euro betrug.

Die Kampagne verdeutlicht das industrielle Ausmaß moderner Finanzkriminalität. Die Angreifer kombinierten das Scannen nach Cloud-Geheimnissen, gestohlene E-Mail-Infrastruktur, Internet-Kartierung, gezielte Angriffe auf Mitarbeiter, den Diebstahl von Zugangsdaten und telefonbasiertes Social Engineering in einer einzigen Operation.

Personen, die ihre Daten auf den Phishing-Seiten eingegeben haben, drohen Kontoübernahmen, betrügerische Zahlungen und weitere Betrugsversuche. Gleichzeitig drohen Unternehmen, deren Cloud- oder E-Mail-Zugangsdaten missbraucht wurden, Reputationsschäden, Betriebsunterbrechungen und weitere Kompromittierungen, wenn weitere Geheimnisse offengelegt bleiben.

Der Fall verdeutlicht zudem ein anhaltendes Problem für Unternehmen: Offengelegte Konfigurationsdateien und Zugangsdaten können Kriminellen die Infrastruktur liefern, die sie für überzeugende Betrugskampagnen benötigen.