Ein neuer Cybersicherheitsbericht von Cofense beschreibt eine ausgefeilte Phishing-Kampagne, die Unternehmensnutzer gezielt anspricht, indem sie deren Interesse an künstlicher Intelligenz ausnutzt. Die Angreifer versenden E-Mails, die wie exklusive Einladungen zu einer privaten Vorschau der neuesten Technologie von Anthropic wirken und dabei die hohe Nachfrage nach Zugang zu fortschrittlichen KI-Modellen ausnutzen. Während die E-Mails ein fokussiertes Gespräch über KI-Systeme und Forschung versprechen, besteht das eigentliche Ziel darin, Anmeldeinformationen für Google- und Microsoft-Konten zu ernten.
Die Kampagne nutzt die Markenidentität von GoTo Webinar, einer weit verbreiteten Videokonferenzplattform, deren legitime Meeting-Einladungen oft nicht von Sicherheitstools blockiert werden. Die betrügerischen E-Mails scheinen von einer Adresse zu stammen, die customercare@gotowebinar[.]com ähnelt, und enthalten offizielle GoTo Webinar-Logos. Forscher stellten jedoch eine subtile, aber kritische Inkonsistenz fest: Der Absendename lautet "Austin from nthropic", wobei das Anfangsbuchstabe "A" von Anthropic fehlt. Trotz dieses Tippfehlers enthält der Text keine anderen offensichtlichen Fehler, was die Täuschung noch überzeugender macht.
Wenn Empfänger auf den Link klicken, um sich für das gefälschte Webinar zu registrieren, werden sie durch eine Reihe täuschender Schritte geleitet, die darauf ausgelegt sind, Sicherheitsscanner zu umgehen. Die Angreifer verwenden URL-Kürzer und Subdomains mit Bindestrichen, um bösartige Adressen zu verbergen, wie beispielsweise goo[.]gle-access-eventregister[.]icu für Google und office[.]com-access-sharepoint[.]com für Microsoft. Diese Links führen zunächst zu einer Cloudflare-CAPTCHA-Seite, die als Kontrollpunkt dient, um automatisierte Sicherheitstools zu blockieren, während sie für menschliche Nutzer legitim erscheint. Nach dem Bestehen des ersten CAPTCHA werden die Opfer auf eine Seite weitergeleitet, die eine Zoom-Meeting-Einladung vortäuscht, auf der sie ihre geschäftliche E-Mail-Adresse eingeben müssen.
Nach der Auswahl von Optionen wie "Mit Google fortfahren" oder "Mit Microsoft fortfahren" erscheint ein zweiter CAPTCHA, bevor die endgültige Anmeldeaufforderung angezeigt wird. Dieser Dual-CAPTCHA-Mechanismus verhindert effektiv die Analyse durch VPN-Dienste, Tor-Browser und andere Sicherheitsscanner. Die gefälschte Microsoft-Seite erfasst erfolgreich sowohl Benutzernamen als auch Passwörter, während die gefälschte Google-Seite derzeit nur Benutzernamen sammelt, wahrscheinlich aufgrund einer Fehlkonfiguration, die die Angreifer in zukünftigen Iterationen korrigieren könnten. Sobald die Zugangsdaten übermittelt wurden, erfolgt keine Bestätigungsnachricht oder Weiterleitung zu legitimen Anbieterseiten; stattdessen werden die Daten sofort von den Bedrohungsakteuren exfiltriert.
Frank Dickson von Dickson Research betonte, dass die Angreifer Anthropic nicht zufällig gewählt haben, sondern das heißeste Thema im aktuellen Nachrichtenzyklus ausgewählt haben, um die "Angst, etwas zu verpassen" auszunutzen. Er stellte fest, dass die Abhängigkeit der KI-Branche von geschützten Vorschauen und Wartelisten Mitarbeiter unbeabsichtigt darauf trainiert, solche exklusiven Einladungen zu erwarten. Die Kampagne zeigt, wie Bedrohungsakteure vertrauenswürdige Tools und Nachahmung nutzen, um auf Vertrauen basierende Verteidigungssysteme zu überwinden, wobei sie oft drei verschiedene Marken – GoTo Webinar, Zoom sowie Google oder Microsoft – innerhalb einer einzigen Angriffssequenz kombinieren.
Experten raten davon ab, sich allein auf die Wachsamkeit der Mitarbeiter zu verlassen, insbesondere wenn Angreifer KI nutzen, um hochüberzeugende Repliken legitimer Seiten zu erstellen. Organisationen werden aufgefordert, alle Einladungen zu KI-Vorschauen über bekannte Kontakte oder Account-Teams zu verifizieren und inkonsistente Markenidentitäten in E-Mails, Meeting-Seiten und Anmeldebildschirmen als schwerwiegendes Warnsignal zu betrachten. Darüber hinaus wird der Einsatz von Phishing-resistenten Methoden zur mehrstufigen Authentifizierung, wie z. B. Passkeys, empfohlen, um gestohlene Passwörter weniger wertvoll zu machen. Wenn Zugangsdaten kompromittiert wurden, sind sofortige Passwort-Resets und Aktivitätsüberprüfungen für die betroffenen Konten wesentliche Schritte, um eine weitere Infiltration zu verhindern.
Quellen: Computerworld.