LogoKit-Phishing: Cloudbasierte Plattform stiehlt Anmeldedaten automatisiert

Sicherheitsanalysten von Barracuda berichten über eine signifikante technologische Weiterentwicklung des bekannten Phishing-Baukastens LogoKit. Die Plattform hat sich demnach zu einer cloudbasierten Echtzeit-Täuschungsplattform entwickelt, die darauf spezialisiert ist, Anmeldedaten durch hochgradig individualisierte Imitationen von Unternehmenswebsites zu entwenden.

Automatisierte Personalisierung durch externe Webdienste

Der entscheidende Fortschritt der aktuellen LogoKit-Generation liegt in der Automatisierung des Täuschungsprozesses. Wie aus Untersuchungen hervorgeht, erstellt die Plattform für jedes potenzielle Opfer eine individuelle Anmeldeseite. Dabei nutzt das System die in der URL enthaltene E-Mail-Adresse des Opfers, um automatisch den zugehörigen Arbeitgeber und die entsprechende Domain zu identifizieren.

Um eine täuschend echte Kopie der Zielseite zu erstellen, greift LogoKit auf verschiedene kommerzielle Webdienste zurück. Unter anderem werden Thum.io, Clearbit, Google Favicon, ImageKit und Microlink genutzt, um in Echtzeit Logos und sogar Live-Screenshots der echten Unternehmenswebsite zu ziehen. Dieser Screenshot dient dann als Hintergrund für die gefälschte Anmeldeseite, was die Entdeckung durch den Nutzer erheblich erschwert.

Moderne Phishing-Angriffe wie LogoKit nutzen psychologische Tricks, um selbst erfahrene Mitarbeiter zu täuschen. Wie Sie diese Manipulationstaktiken entlarven und Ihr Unternehmen in vier Schritten effektiv schützen, erfahren Sie in diesem kostenlosen Leitfaden. Anti-Phishing-Paket jetzt gratis herunterladen

Internationaler Einsatz und Exfiltration per Telegram

Die Reichweite der Kampagnen ist global angelegt. Aktuelle Analysen belegen den Einsatz von Lockmitteln in insgesamt sechs Sprachen: Englisch, Deutsch, Französisch, Spanisch, Chinesisch und Koreanisch. Die Angreifer nutzen dabei verschiedene psychologische Hebel, um Nutzer zur Eingabe ihrer Daten zu bewegen. Zu den dokumentierten Vorwänden gehören Benachrichtigungen über den Ablauf von Passwörtern oder Sicherheitszertifikaten, angebliche Zustellungsfehler bei Paketen, Aktualisierungen der betrieblichen Zeiterfassung sowie offizielle ICANN-Überprüfungsanfragen.

Sobald ein Opfer seine Zugangsdaten auf der manipulierten Seite eingibt, erfolgt die Datenübertragung im Hintergrund. Laut den vorliegenden Berichten werden die extrahierten Anmeldedaten über einen Telegram-Bot direkt an die Hintermänner exfiltriert. Um den Diebstahl zu verschleiern, wird der Nutzer im Anschluss unmittelbar auf die tatsächliche, legitime Website des jeweiligen Unternehmens weitergeleitet.

Da Angreifer immer häufiger auf automatisierte Personalisierung setzen, wird die proaktive Absicherung der IT-Infrastruktur zur Pflicht. Dieses Gratis-E-Book enthüllt, wie Unternehmen aktuelle Sicherheitslücken schließen und gesetzliche Anforderungen an die Cyber-Security effizient erfüllen. Kostenlosen Cyber-Security-Report anfordern

Historischer Kontext und Schutzmaßnahmen

LogoKit ist in der Sicherheitsbranche kein unbekanntes Phänomen. Frühere Versionen des Toolkits wurden bereits im Jahr 2019 von Microsoft und im Jahr 2021 von RiskIQ beobachtet und verfolgt. Die nun dokumentierte Evolution unterstreicht jedoch die zunehmende Professionalisierung von Phishing-as-a-Service-Angeboten, die verstärkt auf Cloud-Ressourcen und API-Integrationen setzen.

Angesichts der hohen Qualität dieser dynamisch generierten Täuschungsseiten empfehlen die Experten von Barracuda Unternehmen die Implementierung moderner Sicherheitsstrategien. Als besonders wirksam gelten phishing-resistente Multi-Faktor-Authentifizierungen, wie etwa der FIDO2-Standard. Darüber hinaus raten Fachleute zur Nutzung von bedingtem Zugriff (Conditional Access), Browser-Isolationslösungen sowie einer strengen URL-Filterung, um die Kommunikation mit bekannten bösartigen Infrastrukturen bereits im Vorfeld zu unterbinden.

de | wissenschaft | 69899262 |