Phishing-Kampagne verbirgt sich hinter mehrstufigen Google-Weiterleitungen, um Zugangsdaten zu stehlen

Vertrauenswürdige Google-Dienste bilden eine dreistufige Angriffskette

Eine laufende Phishing-Kampagne leitet Opfer über mehrere legitime Google-Dienste weiter, bevor sie Seiten zur Abgreifung von Zugangsdaten oder Fernzugriffssoftware ausliefert.

Die KnowBe4-Forscher Prabhakaran Ravichandhiran und Jeewan Singh Jalal beschrieben die Aktivitäten am 4. September. Die Kampagne nutzt eine dreistufige Weiterleitungskette, die E-Mail-Sicherheits-Gateways, URL-Scanner und automatisierte Prüfsysteme ausbremsen soll.

Anstatt eine von den Angreifern kontrollierte Adresse direkt in einer schädlichen E-Mail zu platzieren, binden die Betreiber unter anderem Google Meet, die DoubleClick-Werbeinfrastruktur, Google Custom Search, Google Image Search, Google Tag Manager und Google Analytics ein.

Jede Weiterleitung setzt Sicherheitsprodukte einer weiteren seriösen, von Google betriebenen Domain aus. Ein Gateway, das der Domain-Reputation großes Gewicht beimisst, kann den Link daher als harmlos einstufen – insbesondere dann, wenn es nicht die gesamte Kette verfolgt oder die Zielseite nicht in einem echten Browser analysiert.

Die Technik ist gezielter, als eine schädliche URL lediglich zu verkürzen oder zu verbergen. Die Infrastruktur soll während der aufeinanderfolgenden Prüfphasen plausibel bleiben, während das Ziel sein Verhalten verzögern oder ändern kann, bis die automatisierten Kontrollen abgeschlossen sind.

Google hatte sich zum Zeitpunkt der Veröffentlichung noch nicht zu der gemeldeten Kampagne geäußert.

URL-Fragmente verbergen zielbezogene Daten der Opfer

Eines der deutlichsten Erkennungssignale der Kampagne ist die Platzierung der E-Mail-Adresse des Empfängers im URL-Fragment – dem Teil nach dem Zeichen #. Die Adresse wird mit Base64 codiert und zur Personalisierung des Ziels verwendet.

Eine vereinfachte Struktur könnte so aussehen:

https://legitimate-service.example/path#BASE64_ENCODED_EMAIL

Das Fragment hat für Angreifer eine nützliche Eigenschaft: Browser übermitteln es in der Regel nicht in der HTTP-Anfrage an den Webserver. Für clientseitiges JavaScript bleibt es verfügbar, kann aber in Serverzugriffsprotokollen und in Sicherheitstools fehlen, die nur die angeforderte Ressource erfassen.

Sobald die finale Seite geladen ist, kann ihr JavaScript das Fragment auslesen, die E-Mail-Adresse decodieren und ein maßgeschneidertes Phishing-Erlebnis erzeugen. Die Seite kann die Identität des Opfers vorausfüllen und hinter einer gefälschten Anmeldemaske ein Bild der echten Website des Unternehmens anzeigen.

Das bringt zwei Vorteile. Erstens sieht das Opfer eine Seite, die scheinbar mit seinem Arbeitgeber verbunden ist, statt einer allgemeinen Abfrage von Zugangsdaten. Zweitens können manche Netzwerk- und serverseitigen Telemetriedaten zwar das Ziel der Weiterleitung erfassen, die angegebene E-Mail-Adresse jedoch nicht speichern.

Base64 ist eine Codierung, keine Verschlüsselung. Ein Sicherheitsprodukt, das die vollständige URL erfasst, kann sie problemlos decodieren. Entscheidend ist vielmehr, ob das Produkt das Fragment überhaupt speichert und analysiert.

Eine codierte E-Mail-Adresse nach #, insbesondere in einer Nachricht mit einer Weiterleitung über die Google-Infrastruktur, sollte daher als besonders wertvolles Erkennungssignal behandelt werden. Sie beweist nicht, dass jede solche URL schädlich ist, liefert Verteidigern aber ein enges Muster für weitere Untersuchungen.

Das Ziel passt sich dem Opfer und der Prüfungsumgebung an

Die schädlichen E-Mails verwenden mehrere geschäftsbezogene Vorwände statt einer einheitlichen Vorlage. Zu den beobachteten Themen gehören die Prüfung von Dokumenten, ablaufende Zugangsdaten, Paketzustellungen, Zahlungen, staatliche Leistungen und Benachrichtigungen über Sprachnachrichten.

Nachdem der Empfänger klickt, führen die Weiterleitungen schließlich zu einem von zwei wesentlichen Zielen. Das erste ist eine gefälschte Unternehmens-Anmeldeseite, die Benutzernamen und Passwörter abgreifen soll. Das zweite ist ein betrügerischer Identitätsprüfungsprozess, der versucht, ScreenConnect zu installieren.

ScreenConnect wird hier als Fernzugriffstool eingesetzt, nicht als Grundlage für den Weiterleitungsmechanismus. Die konkret betroffenen ScreenConnect-Versionen wurden nicht offengelegt, und die Kampagne wird nicht als Ausnutzung einer Softwareschwachstelle beschrieben. Die Gefahr besteht darin, dass Benutzer zur Installation oder Ausführung nicht autorisierter Software für die Fernverwaltung gebracht werden.

Das Phishing-Framework kann die Inhalte an den geografischen Standort des Opfers anpassen und unterstützt mehrere Sprachen. Außerdem sammelt es Kontextinformationen, anhand derer die Betreiber sowohl das Ziel als auch die kompromittierte Sitzung bewerten können.

Zu den Berichten zufolge offengelegten Daten gehören:

• Zugangsdaten für Unternehmensanmeldungen
• Öffentliche IP-Adressen
• Geolokationsdaten
• User-Agent-Strings des Browsers
• Verifizierte Mail-Exchange-Einträge der Organisation des Opfers
• Metadaten zur Auswahl des Ziels und zur Sitzung

Gestohlene Zugangsdaten und gesammelte Metadaten werden den Betreibern Berichten zufolge innerhalb weniger Sekunden über einen Telegram-Kanal übermittelt. Telegram bietet eine praktische Kommunikationsschicht, die sich unter Umständen in anderen verschlüsselten Nachrichtenverkehr einfügt, sofern Verteidiger die Bot- und API-Aktivitäten nicht gezielt überwachen.

Die Kampagne verbindet somit Personalisierung, Umgehungstechniken und eine schnelle Datenexfiltration. Eine erfolgreiche Interaktion kann zur Übernahme eines Kontos führen, während eine nicht autorisierte ScreenConnect-Installation den direkten Fernzugriff ermöglichen kann.

Warum Domain-Reputation allein gegen diese Technik versagt

Viele E-Mail- und Web-Sicherheitskontrollen prüfen den sichtbaren Hostnamen eines Links, fragen Reputanzdienste ab und verfolgen nur eine begrenzte Anzahl von Weiterleitungen. Dieses Modell wird schwächer, wenn Angreifer eine Kette aus legitimen Cloud- und Werbekomponenten zusammenstellen können.

Eine pauschale Sperrung von Google-Domains würde erhebliche betriebliche Störungen verursachen. Davon profitieren die Angreifer: Verteidiger müssen die schädliche Nutzung von großen Mengen gewöhnlichen Geschäftsverkehrs unterscheiden, anstatt die Infrastruktur vollständig zu blockieren.

Ein Scanner kann außerdem ein anderes Verhalten beobachten als ein menschlicher Besucher. Der finale Datensammler kann warten, bis die Prüfung abgeschlossen ist, Umgebungsmerkmale auswerten oder seine Antwort an Standort und Sitzungseigenschaften anpassen. Ein unauffälliges Ergebnis einer automatisierten Anfrage garantiert daher nicht, dass ein Benutzer dieselbe Seite erhält.

Sicherheitskontrollen sollten deshalb den vollständigen Navigationspfad auswerten, einschließlich:

1. Der ursprünglichen URL in der E-Mail
2. Jeder dazwischengeschalteten Weiterleitung und ihrer Parameter
3. Der finalen registrierten Domain und dem Hosting-Standort
4. Clientseitiger Skripte, die nach dem Laden der Seite ausgeführt werden
5. URL-Fragmenten, die in der ursprünglichen Nachricht enthalten sind
6. Nachgelagerter Downloads, Anmeldeformulare oder Aufforderungen zum Fernzugriff
7. Ausgehender Kommunikation, die nach der Interaktion des Benutzers initiiert wird

Diese Kampagne ist weder auf ein einzelnes kompromittiertes Google-Produkt noch auf eine offengelegte verwundbare Version angewiesen. Sie missbraucht die Vertrauensbeziehungen zwischen mehreren Diensten sowie Lücken zwischen E-Mail-, Proxy-, Browser-, Endpoint- und Identitätstelemetrie.

Verteidiger sollten nach Telegram-Verkehr und ScreenConnect-Aktivitäten suchen

Organisationen sollten die veröffentlichten Indicators of Compromise in DNS-Filtern, Secure-Web-Gateways, Proxys, Endpoints und SIEM-Plattformen anwenden. Eine Blockierung auf nur einer Ebene kann spätere Phasen der Weiterleitungskette übersehen.

Sicherheitsteams sollten außerdem nach ausgehenden Verbindungen zur Telegram Bot API und anderer ungewöhnlicher Telegram-Kommunikation suchen. Solcher Datenverkehr verdient besondere Aufmerksamkeit, wenn ihm ein verdächtiger Klick auf eine E-Mail, der Besuch einer unbekannten Anmeldeseite oder die Ausführung eines neuen Prozesses vorausgeht.

Bei der Endpoint-Suche sollte der Schwerpunkt auf nicht autorisierten ScreenConnect-Installationen und -Aktivitäten liegen. Relevante Prüfungen umfassen unerwartete Installationsereignisse, neu angelegte Dienste, Ausführungen aus vom Benutzer beschreibbaren Verzeichnissen sowie Fernzugriffssitzungen, die keinem genehmigten Supportprozess entsprechen. Legitime Bereitstellungen in der Organisation müssen von nicht genehmigten Instanzen unterschieden werden.

Potenziell betroffene Benutzer sollten ihre Passwörter zurücksetzen. Verteidiger sollten außerdem Authentifizierungsprotokolle auf ungewöhnliche Standorte, Geräte, Sitzungserstellungen, Änderungen an der Multi-Faktor-Authentifizierung und Zugriffe prüfen, die kurz nach der Zustellung der Phishing-Nachricht erfolgt sind.

Zu den sinnvollen Schutzmaßnahmen gehören:

• Vollständige URLs einschließlich des Inhalts nach dem Zeichen # in der E-Mail-Analyse-Telemetrie speichern.
• Base64-Fragmente während der Nachrichten- und URL-Prüfung decodieren.
• Alle Weiterleitungen verfolgen, statt nur den ersten Google-Hostnamen zu bewerten.
• Weiterleitungen über Google-Dienste mit neu angezeigten Anmeldeformularen korrelieren.
• Nach nachfolgenden ScreenConnect-Downloads, -Installationen oder -Ausführungen suchen.
• Den Datenverkehr zur Telegram Bot API als möglichen Exfiltrationskanal überwachen.
• Benutzer darauf hinweisen, dass vertraute Cloud-Domains kein sicheres Ziel garantieren.
• Nachrichten mit Themen wie Dokumenten, Zustellungen, Zahlungen, Sprachnachrichten, staatlichen Leistungen oder ablaufenden Zugangsdaten untersuchen.

Die Sensibilisierung der Benutzer sollte sich auf das Verhalten und nicht auf Marken konzentrieren. Ein Link kann bei einem legitimen Google-Dienst beginnen und dennoch auf einer von Angreifern kontrollierten Seite enden. Unerwartete Anmeldeabfragen und Identitätsprüfungen, die Fernzugriffssoftware erfordern, sollten gemeldet und nicht durchgeführt werden.

Das entscheidende Merkmal dieser Kampagne ist nicht ein einzelner Phishing-Vorwand. Es ist das koordinierte Zusammenspiel vertrauenswürdiger Weiterleitungsinfrastruktur, verborgener zielbezogener Daten, adaptiver Webinhalte und einer nahezu in Echtzeit erfolgenden Datenexfiltration, durch das ein maßgeschneiderter Angriff wie ein gewöhnlicher Vorgang wirkt.