Phishing-Kampagnen zielen auf Hotel- und Gastgewerbeorganisationen in Europa und Asien ab

Forscher von Microsoft und Trend Micro berichten, dass sie separate, aber miteinander verbundene Phishing-Kampagnen gegen Organisationen des Hotel- und Gastgewerbes in Europa und Asien beobachtet haben. Die Angriffe basieren auf schädlichen ZIP-Archiven, die durch Social Engineering verbreitet werden, mit dem Ziel, die Systeme der Opfer zu infizieren und nach dem Eindringen in ein Netzwerk den Zugriff aufrechtzuerhalten.

Den Berichten zufolge nutzen die Kampagnen eine Kombination aus Täuschung und technischer Verschleierung, um ihre Erfolgschancen zu erhöhen. Die Angreifer verpacken schädliche Dateien in komprimierten Archiven und verwenden irreführende Nachrichten, um Empfänger zum Öffnen zu bewegen. Nach dem Start der Dateien ist die Malware darauf ausgelegt, Persistenz einzurichten. Dadurch kann der Angreifer auch nach einem Neustart oder einem einfachen Bereinigungsversuch auf dem System verbleiben.

Die Forscher stellten außerdem fest, dass die Betreiber mehrere Verschleierungsebenen einsetzen, um die Analyse zu erschweren. In mindestens einem Fall wurde Blockchain-bezogene Infrastruktur als Teil der Angriffskette verwendet. Dies zeigt, dass kriminelle Gruppen weiterhin mit unkonventionellen Diensten experimentieren, um Command-and-Control-Aktivitäten zu verbergen und sich in legitimen Datenverkehr einzufügen.

Unternehmen des Hotel- und Gastgewerbes sind attraktive Ziele, da sie große Mengen an Kundendaten verwalten, Reservierungen und Zahlungen verarbeiten und an mehreren Standorten tätig sind. Diese Kombination kann sie anfällig für Phishing machen, insbesondere wenn Mitarbeiter daran gewöhnt sind, Dateien von Lieferanten, Reisepartnern oder internen Geschäftsbereichen zu erhalten.

Wichtige Erkenntnisse aus den Aktivitäten

• Schädliche ZIP-Dateien wurden als ursprüngliche Übermittlungsmethode verwendet.
• Social Engineering wurde eingesetzt, um Empfänger zum Öffnen der Archive zu verleiten.
• Die Malware konzentrierte sich auf Persistenz, damit die Angreifer ihren Zugriff über einen längeren Zeitraum aufrechterhalten konnten.
• Verschleierung und der Missbrauch von Blockchain-Infrastruktur wurden eingesetzt, um die Sichtbarkeit zu verringern und die Erkennung zu erschweren.

Sicherheitsteams wird in der Regel empfohlen, unerwartete Anhänge mit Vorsicht zu behandeln, insbesondere komprimierte Dateien, die Skripte oder ausführbare Dateien enthalten. Die Überprüfung der Absenderidentität, Einschränkungen beim Umgang mit Anhängen und die Überwachung ungewöhnlicher Persistenzmechanismen können dazu beitragen, das Risiko einer Kompromittierung zu verringern.