Phishing-Kampagne: Angreifer missbrauchen DocuSign und legitime RMM-Tools

Sicherheitsforscher haben eine hochentwickelte Phishing-Kampagne aufgedeckt, die mit gefälschten DocuSign-Seiten arbeitet. Die Angreifer schleusen Fernzugriffs-Tools auf Windows- und macOS-Systeme ein – und nutzen dabei eine raffinierte Taktik.

Die Analyse des BlueVoyant Security Operations Center (SOC) und TFC zeigt ein wiederverwendbares Web-Kit, das dauerhaften Zugriff auf kompromittierte Systeme ermöglicht. Der Clou: Die Angreifer missbrauchen legitime Software für ihre Zwecke.

Mehrstufige Infektion mit Tarnkappen-Tricks

Die am 20. Juli 2026 dokumentierte Kampagne setzt auf gestaffelte Landingpages, die das echte DocuSign-Interface täuschend echt nachahmen. Sogar simulierte Ladebildschirme für Dokumente bauen Vertrauen beim Opfer auf.

Um automatische Sicherheitsscanner auszutricksen, integriert das Phishing-Kit Cloudflare Turnstile. Diese Verifikationshürde erschwert es Sicherheitsfirmen erheblich, die bösartigen Seiten zu analysieren.

Noch perfider: Das Kit verwendet User-Agent-Gating – eine Technik, die den Zugriff auf die Schadsoftware basierend auf Browser und Betriebssystem des Besuchers beschränkt. In mehreren beobachteten Fällen blockierte das Kit alle Nicht-Windows-Nutzer und solche, die nicht den Edge-Browser verwendeten.

Rekord-Schäden durch Phishing zeigen, wie wichtig eine fundierte Prävention für Unternehmen heute ist. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen aktuelle Angriffsmethoden schützen kann. Anti-Phishing-Leitfaden jetzt gratis herunterladen

Legitime Tools als Einfallstor

Gelingt der Köder, wird die Schadsoftware meist über einen Dropbox-Link ausgeliefert. Auf Windows-Systemen erscheint sie als VBS-Datei. Das Skript hebt selbstständig seine Berechtigungen an – über die Windows-Benutzerkontensteuerung (UAC).

Besonders dreist: Das Skript deaktiviert den Microsoft Defender, um ungestört zu arbeiten. Anschließend installiert es legitime Fernwartungs-Tools – konkret MeshAgent und ScreenConnect. Diese Programme sind im IT-Support völlig normal. Die Angreifer nutzen sie jedoch für dauerhaften, unbefugten Zugriff auf den Rechner.

Angriff auf zwei Plattformen

Während viele Phishing-Kits sich auf Windows konzentrieren, enthält diese Kampagne auch Komponenten für macOS. Damit erhöhen die Täter ihre Erfolgsquote in gemischten Unternehmensnetzwerken.

Hacker nutzen immer häufiger psychologische Schwachstellen der Mitarbeiter aus, um technische Hürden zu umgehen. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man betrügerische Nachrichten sicher entlarvt. Kostenlosen Report zur Hacker-Abwehr sichern

Die Kampagne läuft bereits seit längerem – ein Zeichen für hohe Anpassungsfähigkeit der Angreifer. Der Missbrauch legitimer RMM-Tools ist ein wachsender Trend: Weil diese Programme als autorisierte Administrations-Software gelten, bleiben sie oft unter dem Radar traditioneller Antivirenprogramme.

Sicherheitsexperten empfehlen Unternehmen, die installation von RMM-Software genau zu überwachen. Jede DocuSign-Interaktion sollte zudem von legitimen, verifizierten Domains stammen.

de | wissenschaft | 69828344 |