KMU im Visier breit angelegter Phishing-Kampagnen

KMU im Visier breit angelegter Phishing-Kampagnen

Unternehmen in drei Ländern (Polen, Rumänien und Italien) sahen sich im Mai 2024 Phishing-Kampagnen ausgesetzt: Wie das Team um ESET Forscher Jakub Kaloc herausfand, versuchten Angreifer per E-Mail verschiedene Schadprogramme zum Informationsdiebstahl (Infostealer) zu verbreiten.

Besonders kleine und mittlere Unternehmen (KMU)  in Polen waren hiervon betroffen. Die Angreifer nutzten bereits zuvor kompromittierte E-Mail-Konten und Unternehmensserver, um nicht nur bösartige E-Mails zu verbreiten, sondern auch um Malware zu hosten und gestohlene Daten zu sammeln. „Insgesamt haben wir neun Phishing-Kampagnen registriert, von denen sieben im Mai auf Polen abzielten“, erklärt ESET ForscherJakub Kaloc, der die Phishing-Kampagnen analysierte. „Die Schadsoftware, die in diesen Kampagnen verbreitet wurde, variiert zwischen verschiedenen Infostealern und Überwachungssoftware.“  Ein Infostealer ist eine bösartige Software, die darauf ausgelegt ist, persönliche Informationen des Opfers, zum Beispiel Anmeldeinformationen und Bankdaten, zu extrahieren. Diese Art von Angriff wird immer häufiger verwendet und erfordert eine korrekte Präventionsstrategie

 Phishing-Kampagnen: Eine E-Mail als Türöffner für Cyberkriminelle

Alle Kampagnen liefen nach einem ähnlichen Schema ab. Das Zielunternehmen erhielt eine E-Mail mit einem Geschäftsangebot. Ähnlich wie bei vorigen Phishing-Attacken gaben sich die Angreifer glaubhaft als echte Unternehmen und deren Mitarbeiter aus. Selbst wenn das potenzielle Opfer nach den üblichen Warnsignalen suchte, waren diese nicht vorhanden: Die Nachricht sah so legitim aus, wie sie nur hätte sein können.

Diese E-Mails enthielten einen bösartigen Anhang. Der Nachrichtentext sollte potenzielle Opfer zum Öffnen der angehängten Datei verleiten, beispielsweise indem sie Interesse an einem Produkt vorheuchelte. Bei der Datei selbst handelte es sich entweder um eine ISO-Datei oder ein Archiv mit der ausführbaren Datei ModiLoader. ModiLoader ist ein Delphi-Downloader mit einer einzigen Aufgabe: Malware herunterzuladen und zu starten. In zwei der Kampagnen waren die ModiLoader-Samples so konfiguriert, dass sie die nächste Stufe der Malware von einem kompromittierten Server eines ungarischen Unternehmens herunterluden. Bei den übrigen Kampagnen erhielten die ModiLoader die nächste Stufe von einem Microsoft OneDrive-Speicher.

 Weitere Informationen zu den Phishing-Kampagnen gibt es im Blogpost „Phishing-Angriffe auf europäische KMU” auf WeLiveSecurity-com.