Microsoft warnt vor ClickFix-Phishing-Kampagne im Gastgewerbe

MÜNCHEN (IT BOLTWISE) – Eine neue Phishing-Kampagne, die gezielt das Gastgewerbe ins Visier nimmt, sorgt für Aufsehen. Microsoft hat auf eine Bedrohung hingewiesen, bei der Angreifer sich als die bekannte Online-Reiseagentur Booking.com ausgeben, um Malware zu verbreiten.

Microsoft hat eine laufende Phishing-Kampagne aufgedeckt, die das Gastgewerbe ins Visier nimmt, indem sie sich als die Online-Reiseagentur Booking.com ausgibt. Diese Kampagne nutzt eine zunehmend beliebte Social-Engineering-Technik namens ClickFix, um Malware zu verbreiten, die Anmeldedaten stiehlt. Die Aktivität begann im Dezember 2024 und hat das Ziel, finanziellen Betrug und Diebstahl zu begehen. Microsoft verfolgt die Kampagne unter dem Namen Storm-1865.

Diese Phishing-Attacke richtet sich speziell an Personen in Gastgewerbeorganisationen in Nordamerika, Ozeanien, Süd- und Südostasien sowie in Nord-, Süd-, Ost- und Westeuropa, die wahrscheinlich mit Booking.com arbeiten. Die Angreifer senden gefälschte E-Mails, die vorgeben, von der Agentur zu stammen. Die ClickFix-Technik hat sich in den letzten Monaten verbreitet, da sie Benutzer dazu verleitet, Malware unter dem Vorwand auszuführen, einen vermeintlichen Fehler zu beheben, indem sie täuschende Anweisungen kopieren, einfügen und starten, die den Infektionsprozess aktivieren.

Der Angriff beginnt mit einer bösartigen E-Mail von Storm-1865 an eine Zielperson über eine negative Bewertung eines angeblichen Gastes auf Booking.com, in der um “Feedback” gebeten wird. Die Nachricht enthält auch einen Link oder eine PDF-Anlage, die scheinbar auf die Buchungsseite verweist. In Wirklichkeit führt das Klicken darauf das Opfer zu einer gefälschten CAPTCHA-Verifizierungsseite, die auf einem subtil sichtbaren Hintergrund überlagert ist, der eine legitime Booking.com-Seite nachahmt. Dadurch soll ein falsches Sicherheitsgefühl vermittelt und die Wahrscheinlichkeit eines erfolgreichen Angriffs erhöht werden.

Die gefälschte CAPTCHA-Seite nutzt die ClickFix-Technik, um die bösartige Nutzlast herunterzuladen. Diese Technik weist den Benutzer an, eine Tastenkombination zu verwenden, um ein Windows-Ausführen-Fenster zu öffnen, dann einen Befehl einzufügen und zu starten, den die Webseite in die Zwischenablage einfügt. Der Befehl verwendet im Wesentlichen die legitime mshta.exe-Binärdatei, um die nächste Nutzlaststufe abzulegen, die verschiedene gängige Malware-Familien wie XWorm, Lumma stealer, VenomRAT, AsyncRAT, Danabot und NetSupport RAT umfasst.

Redmond hat zuvor beobachtet, dass Storm-1865 Käufer von E-Commerce-Plattformen mit Phishing-Nachrichten anvisiert, die zu betrügerischen Zahlungswebseiten führen. Die Einbeziehung der ClickFix-Technik zeigt daher eine taktische Weiterentwicklung, die darauf abzielt, herkömmliche Sicherheitsmaßnahmen gegen Phishing und Malware zu umgehen. Der Bedrohungsakteur, den Microsoft als Storm-1865 verfolgt, umfasst eine Aktivitätsgruppe, die Phishing-Kampagnen durchführt, die zu Zahlungsdatendiebstahl und betrügerischen Belastungen führen.

Diese Kampagnen sind seit mindestens Anfang 2023 mit zunehmendem Volumen im Gange und beinhalten Nachrichten, die über Anbieterplattformen wie Online-Reiseagenturen und E-Commerce-Plattformen sowie E-Mail-Dienste wie Gmail oder iCloud Mail gesendet werden. Storm-1865 ist nur eine von vielen Kampagnen, die ClickFix als Vektor für die Malware-Verbreitung übernommen haben. Die Effektivität dieser Technik ist so groß, dass sogar russische und iranische staatliche Gruppen wie APT28 und MuddyWater sie übernommen haben, um ihre Opfer zu ködern.

Die ClickFix-Technik markiert eine Weiterentwicklung in den sozialen Ingenieurstrategien von Angreifern, indem sie das Vertrauen der Benutzer und die Browserfunktionalität für die Malware-Bereitstellung nutzt. Die rasche Verbreitung dieser Methode sowohl durch Cyberkriminelle als auch durch APT-Gruppen unterstreicht ihre Effektivität und die geringe technische Hürde. Einige der anderen dokumentierten ClickFix-Kampagnen umfassen die Verwendung gefälschter CAPTCHA-Verifizierungen, um einen mehrstufigen PowerShell-Ausführungsprozess zu initiieren, der letztendlich Infostealer wie Lumma und Vidar liefert.

Zu den Top-Stories!

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.925 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen