Cyberkriminelle nutzen Social Engineering per Mail und Telefon

Im Zuge der Untersuchung eines infizierten PCs in der Schweiz hat Sophos eine neue, äusserst komplexe Angriffsmethode entdeckt, die auf Social Engineering per Mail und Telefon aufbaut. Laut Mitteilung setzten Cyberkriminelle die Methode ein, um Malware auf einem PC einzuschleusen und Kontrolle über das Unternehmensnetzwerk zu übernehmen sowie Daten abzuführen. 

Wie genau die Methode funktioniert, erklärt Sophos im Detail: Alles beginnt mit einem Telefonanruf. Der Betrüger gab sich als Lieferfahrer aus, der ein dringendes Paket an einen Unternehmensstandort liefern wollte, jedoch niemanden zum Entgegennehmen antraf. Er bat um eine Lieferadresse an den Standort des kontaktierten Mitarbeiters. Um das Paket erneut zuzustellen zu können, müsste der Mitarbeiter ihm einen Code vorlesen, den die Versandfirma per Mail senden würde. Diese Mail wiederum besagte, dass eine in der Nachricht angehängte PDF-Datei den Code enthielt.

Gezielte Opferwahl

Wie Sophos weiter erklärt, löste die Mail dann die Angriffskette aus. Sowohl die Textnachricht selbst als auch der Anhang waren tatsächlich nur statische Bilder, die in den Nachrichtentext eingebettet waren. Auf Anweisung des Anrufers klickte der Mitarbeiter auf das Bild, das zum Download der Malware führte. Nachdem die Betrüger Kontrolle über den PC übernommen hatten, merkte der Mitarbeiter, dass etwas nicht stimmte und trennte den PC vom Firmennetzwerk. Dies geschah jedoch nicht rechtzeitig, um das Eindringen ins Firmennetzwerk zu verhindern. Dort nutzten die Betrüger weitere Malware, um nach Buchhaltungssoftware-Daten, Cookies, Browsing-Verlauf sowie Passwörtern und Kryptowährungs-Wallets zu suchen. Die Daten wurden dann versteckt über das Dark Web übertragen. Der Mitarbeiter konnte durch sein Handeln immerhin schlimmere Folgen für das Unternehmen verhindern. 

Sophos unterstreicht das komplexe Vorgehen der Angreifer. Die Mail war in perfektem Französisch verfasst, trotzdem schienen sich die Betrüger bewusst zu sein, dass ihre Zielperson deutschsprachig war. Ohnehin weisen mehrere Indizien darauf hin, dass der Mitarbeiter gezielt zum Angriffsopfer auserwählt wurde. "Dieser Angriff war äußerst gezielt. An diesem Freitag war nur eine Person im Büro, und die Angreifer kannten wahrscheinlich die Identität dieser Person", sagte Andrew Brandt, Principal Researcher bei Sophos. "Die Verwendung eines Bildes, das sich als E-Mail tarnt, ist ebenfalls etwas, das wir bisher nicht gesehen haben. Allerdings ist es clever. Das Anhängen eines tatsächlichen PDF löst oft Alarm auf Systemen aus, da sie häufig zur Verbreitung von Malware verwendet werden, und E-Mails mit PDFs landen oft in Spam-Filtern."

Nach dem Angriff in der Schweiz entdeckte Sophos einen weiteren Angriff mit dem selben Vorgehen in Australien. Wer genau hinter den Angriffen steckt, ist bisher noch unklar. 

Übrigens: Aktuell hacken Cyberkriminelle Whatsapp-Konten per Voicemail. Wie genau die Betrüger vorgehen, erfahren Sie hier.