Neue Taktiken verursachen einen in Anstieg betrügerischen Geschäfts-E-Mails

Cyberkriminelle Aktivitäten rund um die Kompromittierung von Geschäfts-E-Mails nehmen zu. Microsoft beobachtet einen signifikanten Trend bei der Verwendung von Plattformen wie BulletProftLink, einer beliebten Plattform für die Erstellung bösartiger E-Mail-Kampagnen im industriellen Maßstab. BulletProftLink bietet einen End-to-End-Dienst, einschließlich Vorlagen, Hosting und automatisierten Diensten für BEC. Angreifer, die dieses CaaS nutzen, erhalten Anmeldedaten und die IP-Adresse des Opfers.

BEC-Bedrohungsakteure erwerben dann die IP-Adresse von lokalen IP-Anbietern, die mit dem Standort des Opfers übereinstimmen, und erstellen private IP-Proxys, die es den Cyberkriminellen ermöglichen, ihre Herkunft zu verschleiern. So können BEC-Angreifer, die zusätzlich zu Benutzernamen und Kennwörtern über einen lokalisierten Adressraum zur Unterstützung ihrer bösartigen Aktivitäten verfügen, ihre Bewegungen verschleiern, Unmöglicher-Ortswechsel-Flags umgehen und ein Tor zur Durchführung weiterer Angriffe öffnen. Microsoft hat beobachtet, dass Bedrohungsakteure in Asien und einem osteuropäischen Land diese Taktik am häufigsten anwenden.

Unmöglicher Ortswechsel ist eine Erkennung, die darauf hinweist, dass ein Benutzerkonto kompromittiert sein könnte. Diese Warnungen weisen auf physische Einschränkungen hin, die darauf hindeuten, dass eine Aufgabe an zwei Orten ausgeführt wird, obwohl die Zeit für den Weg von einem Ort zum anderen nicht ausreicht.

Die Spezialisierung und Konsolidierung dieses Zweigs der Internetkriminalität könnte dazu führen, dass vermehrt private IP-Adressen verwendet werden, um der Entdeckung zu entgehen. IP-Adressen von Privatpersonen, die in großem Umfang Standorten zugeordnet sind, bieten Cyberkriminellen die Möglichkeit, große Mengen an kompromittierten Anmeldedaten und Zugangskonten zu sammeln. Bedrohungsakteure verwenden IP-/Proxy-Dienste, die Händler oder andere für die Recherche verwenden könnten, um diese Angriffe auszuweiten. Ein IP-Dienstanbieter verfügt beispielsweise über 100 Millionen IP-Adressen, die jede Sekunde gedreht oder gewechselt werden können.

Während Bedrohungsakteure Phishing-as-a-Service wie Evil Proxy, Naked Pages und Caffeine nutzen, um Phishing-Kampagnen zu starten und kompromittierte Zugangsdaten zu erhalten, bietet BulletProftLink ein dezentrales Gateway-Design, das öffentliche Blockchain-Knoten von Internet Computern einschließt, um Phishing- und BEC-Seiten zu hosten, und so ein noch ausgeklügelteres dezentrales Webangebot schafft, das viel schwerer zu durchschlagen ist. Die Verteilung der Infrastruktur dieser Websites über die Komplexität und das stetige Wachstum der öffentlichen Blockchains macht ihre Identifizierung und die Umsetzung von Bekämpfungsmaßnahmen noch komplexer. Sie können zwar den Phishing-Link entfernen, aber die Inhalte bleiben online, und Cyberkriminelle kehren zurück, um einen neuen Link mit vorhandenen CaaS-Inhalten zu erstellen.

Erfolgreiche BEC-Angriffe kosten Organisation jährlich Hunderte Millionen Dollar. Im Jahr 2022 initiierte das Recovery Asset Team des FBI die Financial Fraud Kill Chain bei 2.838 BEC-Beschwerden, die inländische Transaktionen mit potenziellen Verlusten von über 590 Millionen USD betrafen.

Auch wenn die finanziellen Auswirkungen beträchtlich sind, können langfristig weitere Schäden entstehen, wie z. B. Identitätsdiebstahl, wenn personenbezogene Daten kompromittiert werden, oder der Verlust vertraulicher Daten, wenn vertrauliche Korrespondenz oder geistiges Eigentum im böswilligen E-Mail- und Nachrichtenverkehr offengelegt werden.

Obwohl Bedrohungsakteure spezielle Tools für BEC entwickelt haben, darunter Phishing-Kits und Listen verifizierter E-Mail-Adressen, die auf C-Suite-Führungskräfte, führende Mitarbeitende in der Finanzbuchhaltung und andere spezifische Rollen abzielen, können Unternehmen Methoden einsetzen, um Angriffen zuvorzukommen und das Risiko zu mindern.

So bietet beispielsweise eine Domain-based Message Authentication, Reporting and Conformance (DMARC)-Richtlinie mit der Einstellung „ablehnen“ den stärksten Schutz vor gefälschten E-Mails, da sie sicherstellt, dass nicht authentifizierte Nachrichten noch vor der Zustellung auf dem Mailserver zurückgewiesen werden. Zusätzlich bieten DMARC-Berichte einen Mechanismus, mit dem eine Organisation auf die Quelle einer offensichtlichen Fälschung aufmerksam gemacht werden kann, Informationen, die sie normalerweise nicht erhalten würde.

Obwohl Organisationen erst seit wenigen Jahren in der Lage sind, vollständig Remote- oder hybride Arbeitsgruppen zu verwalten, ist ein Umdenken in Bezug auf das Sicherheitsbewusstsein in einer Zeit der hybriden Arbeitswelt weiterhin erforderlich. Da die Mitarbeitende mit mehr Anbietern und Auftragnehmern zusammenarbeiten und dadurch mehr E-Mails erhalten, die sie zum ersten Mal sehen, müssen Sie sich unbedingt darüber im Klaren sein, was diese Veränderungen im Arbeitsrhythmus und in der Korrespondenz für Ihre Angriffsfläche bedeuten.

BEC-Angriffe von Bedrohungsakteuren können viele Formen annehmen, einschließlich Anrufe, SMS, E-Mails oder Nachrichten in sozialen Netzwerken. Auch das Fälschen von Authentifizierungsanfragen und das Ausgeben als Person oder Unternehmen sind gängige Taktiken.

Ein guter erster Abwehrschritt ist die Stärkung von Richtlinien für die Buchhaltung, interne Kontrollen, die Lohnbuchhaltung oder die Personalabteilung, wie auf Anfragen oder Mitteilungen über Änderungen bei Zahlungsinstrumenten, Bankgeschäften oder Überweisungen zu reagieren ist. Anfragen zu ignorieren, die verdächtigerweise nicht den Richtlinien entsprechen, oder eine anfragende Partei über ihre legitime Website und Vertreter zu kontaktieren, kann Organisationen vor großen Verlusten bewahren.

BEC-Angriffe sind ein gutes Beispiel dafür, warum Cyberrisiken funktionsübergreifend angegangen werden müssen. Führungskräfte, Finanzmitarbeitende, die Personalleitung und andere Personen, die Zugang zu Mitarbeiterdaten wie Sozialversicherungsnummern, Steuererklärungen, Kontaktinformationen und Zeitplänen haben, müssen zusammen mit IT-, Compliance- und Cyberrisikobeauftragten zusammenarbeiten.

Erfahren Sie mehr über BEC und Iranische Bedrohungsakteure mit Einblicken von Simeon Kakpovi, Senior Threat Intelligence Analyst.