Der Aufstieg des Dark Webs hat für Kriminelle einiges verändert. Lange Zeit war es ein sicherer Hafen für den Kauf und Verkauf von Drogen, Waffen, gefälschter IDs und vertraulicher Daten, aber aktuelle Recherchen haben gezeigt, dass nun auch fortschrittliche Phishing-Bausätze vermehrt erhältlich sind.
Phishing ist natürlich kein neues Phänomen. Die Methode gibt es schon fast so lange wie die E-Mail selbst und es war schon immer ein wichtiges Werkzeug von Cyberkriminellen. Obwohl die Gefahren von Phishing bekannter sind denn je, ist es nach wie vor eine der häufigsten Arten von Cyberangriffen. Einige Berichte schätzen, dass 91% aller Cyberangriffe und Datenschutzverletzungen mit einer Phishing-E-Mail beginnen.
Gemeinsame Recherchen von CyberInt und Check Point zeigen einen noch erschreckenderen Trend. Mit den neuen Bausätzen aus dem Dark Web kann theoretisch jeder, auch mit wenig technischem Wissen, seinen eigenen Phishing-Angriff starten. Wenn solche einfach zu nutzenden Sets verfügbar sind, kann dies zu einer beispiellosen Explosion von Phishing-Angriffen führen.
Bevor wir uns die pikanten Details der neuen Phishing-Bausätze ansehen, lassen Sie uns noch mal in Erinnerung rufen, wie viel Schaden Phishing anrichten kann.
Phishing: zur Erinnerung
Sie sind es wahrscheinlich schon leid über Phishing-Angriffe zu lesen oder wie man sie am besten vermeidet. Jede Cybersicherheitsseite, die etwas auf sich hält veröffentlicht Anleitungen wie man sich am besten gegen solche Angriffe schützt. Und fast jeder hat mittlerweile zumindest ein bisschen Hintergrundwissen wie solche Angriffe funktionieren und denkt, dass er diese deshalb vermeiden kann.
Doch obwohl es eine Fülle an Informationen gibt und Benutzer und Unternehmen die Risiken von Phishing schon seit geraumer Zeit kennen, besteht die Gefahr, dass mit steigendem Wissen auch die Nachlässigkeit steigt. Phishing-Angriffe nehmen bei weitem nicht ab, sie steigen stetig und werden immer ausgefeilter.
Wenn Einzelpersonen auf einen Phishing-Angriff hereinfallen hat dies verheerende Folgen. Jedes Jahr aber führen Phishing-Angriffe auch zu Verlusten von mehreren Milliarden von Dollar für Klein- und Mittelständische Unternehmen. Zusätzlich werden Phishing-Angriffe immer zielgerichteter. ‘Spear Phishing’ bezeichnet zum Beispiel höchst individuell gestaltete Angriffe, die meist ausschließlich auf einflussreiche Personen abzielen und stark zunehmen.
Phishing für Jedermann
Die neuen Phishing-Bausätze, entdeckt von CyberInt und Check Point, sind aber aus einem anderen Grund besorgniserregend: sie geben selbst Menschen mit nur minimalem technischem Wissen ausgeklügelte Methoden an die Hand.
Phishing-Bausätze gibt es schon seit Jahren im Dark Web und sie sind eine relativ billige Option für potentielle Cyberkriminelle. Die Sets kosten zwischen 20 und 50 Dollar pro Versuch und versprechen grundlegende Daten wie allgemeine Passwörter oder andere einfache Informationen zu erfassen. Diese können dann genutzt werden, um einen anspruchsvolleren Angriff auszuführen.
Doch das jetzt entdeckte Set ist von ganz anderem Kaliber, und kostet deutlich mehr. Es wurde von einem Benutzer unter dem Decknamen [A]pache entwickelt und besteht aus einer vollständigen (und legitim aussehenden) Seite, auf der Finanzinformationen von Opfern erfasst werden. Die Raffinesse hinter der Software erklärt auch den dazugehörigen höheren Preis: etwa 300 Dollar.
Doch es ist beeindruckend, was man für sein Geld bekommt. Mit dem Phishing-Bausatz kann man eine Anzahl an gefälschten Seiten bauen, die ziemlich echt aussehende Kopien von einer Auswahl an bekannten E-Commerce Portalen sind. Zwar scheint der Fokus hauptsächlich auf brasilianischen Händlern zu liegen, aber Kriminelle haben auch die Option Walmart und andere amerikanische Firmen nachzuahmen. Die Ergebnisse sind gar nicht schlecht:
Bildquelle: https://research.checkpoint.com/a-phishing-kit-investigative-report/
Mit dem Set kann selbst ein unerfahrener Angreifer eine gefälschte Seite bauen und mit ‘Angeboten’ füllen. Das Set gibt sogar Ratschläge an Möchtegern-Angreifer. So sollen sie ihre falschen Produkte zu einem wettbewerbsfähigen Preis anbieten und über eine ‚Opferinformationsmanagement‘-Schaltfläche können, wie von Check Point gezeigt, Finanzdaten abgegriffen werden.
Es bleibt noch abzuwarten ob der Bausatz oder andere Ähnliche Erfolg haben werden. Die Recherche gibt keine Auskunft darüber wie viele von den Bausätzen bisher verkauft wurden. In der Tat hat Check Point es sogar geschafft den Twitteraccount des Autors herauszufinden. Daher ist es absehbar, dass er relativ schnell verschwindet, sollte – und das ist nicht sicher – bewiesen werden, dass [A]pache eine Straftat in Brasilien begangen haben.
Aber egal was passiert, allein dass es so einen Phishing-Bausatz gibt lässt schon vermuten, dass solch fortschrittliche Sets in den kommenden Jahren ein geläufiges Angebot werden.
Schützen Sie sich
In Anbetracht dessen, wie können Sie sich schützen?
Falls Sie über allgemeines Phishing schon nichts mehr hören wollen, kennen Sie wahrscheinlich schon einige der Strategien mit denen Sie sich, Ihre Daten und Ihr Unternehmen schützen können. Auch wenn Bausätze wie der von [A]pache immer ausgefeilter werden bleiben die Grundlagen, wie Sie Phishing-Angriffe am besten vermeiden doch die gleichen: lernen Sie, wie Sie eine Phishing-E-Mail erkennen, wie Sie eine gefälschte Website erkennen und überlegen Sie Phishing-Simulationen durchzuführen, um Ihr Wissen zu testen.
Des Weiteren sollten Sie sicherstellen, dass alle Seiten, die Sie verwalten gegen Phishing-Angriffe gewappnet sind. Wenn Ihre eigenen Informationen gestohlen werden mag das ein persönliches Desaster sein. Aber verantwortlich für den Diebstahl Ihrer Kundendaten zu sein kann noch schlimmere Konsequenzen nach sich ziehen. Möglicherweise sogar strafrechtliche Sanktionen. Deshalb sollten Sie wissen, wie Sie Ihre Kunden vor Phishing-Angriffen schützen.
Zumindest zeigen uns die neuen Phishing-Bausätze doch eins: es zahlt sich immer aus wachsam auf neue Angriffe achten, auch wenn wir gelangweilt von den immer selben Methoden sind.
Über den Autor
Sam Bocetta ist freiberuflicher Journalist mit Schwerpunkt US Diplomatie und nationaler Sicherheit. Vor allem berichtet er über Technologietrends in Cyberwarfare, Cyberabwehr und Kryptografie.
