Phishing-Kampagne nutzt gefälschte Markeninterviews, um Google-Konten anzugreifen

Eine Phishing-Kampagne gibt sich als mehr als 30 große Unternehmen aus, darunter Adobe, Netflix, Coca-Cola, OpenAI und weitere, um die Zugangsdaten von Google-Konten von Marketingfachleuten zu stehlen. Sicherheitsforscher zufolge basiert die Kampagne auf gefälschten Kontaktaufnahmen zu Vorstellungsgesprächen, die scheinbar von legitimen Personalvermittlern stammen.

Laut einer Analyse von Will Thomas von Team Cymru versenden die Angreifer Nachrichten, die angeblich von Personalabteilungen stammen, die Kandidaten für Marketingpositionen suchen. Die E-Mails verwenden die Namen und Fotos echter Personalvermittler und leiten die Empfänger auf Terminplanungsseiten weiter, die glaubwürdig wirken sollen.

So funktioniert die Kampagne

Die Operation scheint auf legitime Cloud-Dienste zurückzugreifen, um die schädliche Infrastruktur hinter mehreren Weiterleitungsebenen zu verbergen. Die Phishing-Nachrichten nutzen die PersonalForce-HR-Plattform und eine mit Salesforce Marketing Cloud verbundene Domain, bevor sie die Opfer auf eine schädliche Landingpage weiterleiten.

Forscher stellten fest, dass die Weiterleitungskette mit einer Domain beginnt, die mit dem ExactTarget-Dienst von Salesforce verbunden ist, anschließend über die cloudbasierte CRM-Plattform Wise Agent führt und schließlich auf der Phishing-Website endet. Dadurch wirken die Links vertrauenswürdig, während das endgültige Ziel schwerer zu erkennen ist.

Die Kampagne verwendet mindestens 34 Domains, die Marken aus mehreren Branchen imitieren:

• Fluggesellschaften und Reiseunternehmen, darunter American Airlines, Booking.com, Delta Air Lines und United Airlines
• Lebensmittel- und Getränkemarken wie Coca-Cola, PepsiCo und Red Bull
• Mode- und Luxusmarken wie Adidas, Louis Vuitton, Sephora und Levi’s
• Personalvermittler, Beratungsunternehmen und Technologiefirmen wie Adobe, Aquent, ManpowerGroup, McKinsey & Company und OpenAI
• Marken aus den Bereichen Gastgewerbe, Marketing, Unterhaltung und Sport, darunter Marriott, Omnicom Group, FIFA und Netflix

BleepingComputer berichtet, dass die Aktivitäten seit mindestens fünf Monaten andauern. Frühere Versionen verwendeten Berichten zufolge Outlook-Adressen, die den Namen des imitierten Unternehmens enthielten.

In einem Beispiel gab sich eine Nachricht als Adidas-Personalvermittler aus und lud den Empfänger ein, ein Gespräch zu vereinbaren. Ein Klick auf den Link führte zu einer Website, auf der sich der Nutzer mit Google anmelden musste, um fortzufahren. Bei der Anmeldeaufforderung handelte es sich um eine Browser-in-the-Browser-Imitation. Das bedeutet, dass das gefälschte Anmeldefenster mithilfe standardmäßiger Webgestaltung direkt in die Seite eingebettet war und kein echtes Browserdialogfeld darstellte.

Bislang ist unklar, wie die Angreifer Zugriff auf die legitimen Dienste erhielten, die in der Weiterleitungskette verwendet werden. Forscher erklärten, dass der Missbrauch nicht zwangsläufig bedeutet, dass diese Plattformen kompromittiert wurden, sondern auch auf neu erstellte Konten oder gestohlene Zugangsdaten zurückzuführen sein könnte.