phishing-Kampagne verwendet RMM-Installateure für Fernzugriff; 601 Vorfälle in 46 Ländern

Eine Phishing-Kampagne, die legitime Remote Monitoring- und Management-Software (RMM)-Installateure verwendet, um unautorisierten Remote-Zugriff zu erhalten, hat sich als viel breiter erwiesen, als es ursprünglich schien. Forscher von ANY. RUN verlinkte 601 Vorfälle zu dieser Operation, die falsche Dokumente als Decoy verwendet - von kanadischen Steuerformularen zu Versandhinweisen, Rechnungen oder US Social Security Benachrichtigungen - und wurde in 46 Länder mit etwa 45% des Verkehrs aus den USA. Die Ergebnisse zeigen ein schnelles und Einweg-Liefermuster, das die Erkennung anhand einfacher Schlosslisten erschwert.

Technisch folgt die Täuschung einer wiederholbaren Kette: E-Mail mit betrügerischer Datei oder Link → Phishing-Seite in ephemeral Infrastrukturen gehostet → von einem komprimierten Paket oder Installer herunterladen, der die Installation von legitimen RMM-Software installiert oder anweist. ANY. RUN dokumentierte 425 URLs von Phishing Kits in 240 verschiedenen Hosts; 94% dieser Gastgeber waren nur einen Tag aktiv, die eine massive Rotation der Infrastruktur anzeigt. Die Angreifer nutzen Bereitstellungsplattformen, mit denen Sie öffentliche Websites schnell erstellen können - Vercel, GitHub Pages, Netify - und auch Hauskosten in Storage-Diensten wie Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox und GoFile.

Obwohl sich Domains und Unterkünfte ständig ändern, gelang es den Forschern, mehrere Vorfälle zu gruppieren dank persistente Drucke auf dem Phishing Kit: freigegebene Ressourcen wie die Font1.woff2-Quelldatei, ein wiederkehrendes Icons8-microsoft-word-94.png-Bild und die sichere Lieferstruktur (sequre.html, die das Projekt / * .zip bezeichnet). Diese Stücke wirken als stabilere Indikatoren innerhalb einer Topologie, die innerhalb weniger Tage verschwinden soll.

Warum funktioniert diese Methode? Weil es Social Engineering mit dem Missbrauch legitimer Software kombiniert. Wenn das Opfer läuft oder installiert einen RMM-Client - oft in einer Datei innerhalb eines passwortgeschützten ZIP zum Mocken von Mail-Filtern - der Angreifer bekommt eine Remote-Verbindung, die normalerweise erlaubt, Privilegien zu klettern, sich seitlich in Unternehmensnetzwerke und Exfilter-Daten zu bewegen. Das Risiko ist nicht nur der Verlust von Informationen: Der Fernzugriff ist ein regelmäßiges Gateway, um Analysien, Finanzbetrug und langfristige Verpflichtungen gegenüber IT-Umgebungen bereitzustellen.

Zu den am häufigsten beobachteten Sektoren gehören Bildung, Technologie und öffentliche Verwaltung, mit einer signifikanten Präsenz von Banken, Finanzen und Produktion. Diese Beobachtungen bestätigen, dass die Gegner Sektoren mit sensiblen Datenkombinationen, Zahlungsfähigkeiten und operativen Einheiten in Remote-Systemen priorisieren.

Konfirmierte Fakten: ANY. RUN berichtete 601 Fälle, die mit der Operation verbunden sind, Aktivität in 46 Ländern, ~ 45% des Verkehrs in Verbindung mit den Vereinigten Staaten, 425 URLs von Kits in 240 Hosts und 94% der Hosts für einen Tag beobachtet. Die Rotation der Infrastruktur (Vercel, GitHub Pages, Netlify usw.) und die Nutzung von Speicherdiensten für Nutzlasten werden ebenfalls bestätigt. Schätzungen und Unsicherheiten: Es gibt keine verifizierten öffentlichen Daten über die Gesamtzahl der betroffenen Opfer, oder über den verantwortlichen Schauspieler oder Gruppen; weder der operative Erfolg (die Rate der tatsächlichen Einrichtungen) quantifiziert und der Anteil der Intrusionen, die zu großen Vorfällen wie Ansomware führte.

Die praktischen Auswirkungen für Organisationen und Endbenutzer sind klar: verlorene Kontrolle über Stationen und Server, mögliche Exfiltration und Nutzung des Fernzugriffs für nachfolgende Angriffe. Zudem erschwert die Rotationsstrategie die Eindämmung allein durch statische IOCs, da die Domänen und Hosts vor der Aktualisierung der Sperrlisten verschwinden.

Spezifische und operative Empfehlungen für Sicherheitsausrüstung und technische Leser:

1) Priorisieren Sie die Erkennung in der Lieferkette und dem Verhalten, nicht nur in Domänen. Finden Sie wiederholte Muster wie sequre.html → Projekt / * .zip Sequenz, gemeinsame statische Ressourcen (z.B. font1.woff2, icons8-microsoft-word-94.png) und komprimierte Datei-Downloads von ephemeralen Bereitstellungsplattformen. Erstellen Sie SIEM / EDR-Regeln, die Downloads von ZIPs von GitHub Pages, Vercel, Netlify oder anderen öffentlichen Hosts mit anschließender Ausführung von RMM-Installatoren korrelieren.

2) Stärken Sie die Kontrollen auf der Postschicht. Blockieren oder markieren, um die passwortgeschützten Anhänge von externen Sendern zu überprüfen; benötigen Sie eine zusätzliche Überprüfung (z.B. Kontakt außerhalb der Postkette), bevor Sie öffnen. Umsetzung von Richtlinien, die die automatische Ausführung von heruntergeladenen Inhalten einschränken und die stille Entfernung von Dateien von Post deaktivieren.

3) Bewerben Sie Null Vertrauen und Endpunkte Härte Prinzipien. Beschränken Sie die Software-Installation auf zugelassene Listen; Verwenden Sie Privileg-Hebesteuerungen und Anwendung Whitelisting. Überwachen Sie Prozesse, die ungewöhnliche ausgehende Verbindungen herstellen und mit RMM-Prozessen oder neueren Installationen verknüpfen. Aufzeichnen und Alarmieren über Stamm-Kind-Prozessketten, in denen Browser Ausführbare herunterladen und unbekannte Binaries starten.

4) Kontextbasierte Erkennung und Reaktion aktivieren. Interaktive Sandkästen, die Browser-Aktivität, Skripte, Downloads und Verbindungen anzeigen (wie sie von ANY verwendet werden. RUN) helfen, zwischen legitimer Nutzung und Missbrauch zu unterscheiden. Bereichern von Warnungen mit Threat Intelligence-Daten, um persistente Kits mit neuen Einweg-Domains zu korrelieren.

5) Praktisches Bewusstsein für Endnutzer. Führen Sie keine Remote-Access-Software oder öffnen Sie komprimierte Dateien von nicht zertifizierten Sendern; überprüfen Sie Legitimität durch alternative Kanäle (call offizielle Nummer, Corporate Portal). Für Integratoren und Administratoren, begrenzen Sie den RMM-Zugriff auf Wartungsfenster und wenden Sie Multifaktor-Datensätze und Authentifizierung auf Remote-Sitzungen an.

Diese Empfehlungen sollten produktagnostisch umgesetzt werden: Der Bericht zeigt, dass Angreifer Werkzeuge und Lieferanten austauschen, so dass je nach Blockaden pro Verkäufer Lücken hinterlassen. Um die Fernzugriffstechnik und ihre Klassifizierung in Bedrohungsrahmen besser zu verstehen, basiert die MITRE ATT & CK-Basis auf Fernzugriffssoftware ( https: / / attack.mitre.org / Techniken / T1219 /) Für eine interaktive Analyse der Kampagne und der gruppierten Indikatoren siehe die ANY. RUN Plattform ( https: / /)

Kurz gesagt, das besorgniserregendste Element dieser Kampagne ist nicht die Neuheit von Werkzeugen, sondern die Kombination von Social Engineering mit Einweg-Infrastruktur und legitimen Dienstleistungen wie Lieferkanälen. Um sich effektiv zu verteidigen, ist es notwendig, den Fokus zu ändern: von statischen IOCs bis zum Erkennen von anormalen Lieferketten und Verhalten im Zusammenhang mit der Verwendung von MMR, und um kontextuelle Intelligenz, die SOC-Teams zu unterscheiden zwischen legitimer Verwaltung und Missbrauch ermöglicht.