Phishing ohne Code: wie Bubble und legitime Domains täuschen, um Microsoft Anmeldeinformationen zu stehlen

Security-Forscher haben eine saubere und effektive Taktik für Phishing-Kampagnen identifiziert, um unbemerkt zu gehen: Nutzen von codefreien Applikations-Erstellungsplattformen wie Bubble, um bösartige Seiten zu erstellen und zu hosten, die Microsoft-Login-Portale simulieren. Der Bericht der Kaspersky verwirrt, wie diese Methode das Vertrauen nutzt, das legitime Domänen erzeugt und die Komplexität des generierten Codes automatisch.

Bubble ist eine Plattform, die es Ihnen ermöglicht, nicht-Code-Anwendungen zu erstellen, die auf künstliche Intelligenz angewiesen sind, um die Schnittstelle und Logik zu erzeugen. Die resultierenden Anwendungen werden üblicherweise unter dem * .bubble untergebracht. io-Domain, ein Raum, der von vielen Sicherheitslösungen im Umfang als legitim angesehen wird. Diese offensichtliche Legitimität macht Links, die in bösartigen E-Mails enthalten sind, die nicht automatisch als gefährlich markiert sind, und so erreicht der Benutzer eine Seite, die offensichtlich keinen Verdacht aufhebt.

Die Technik basiert nicht nur auf der Verwendung einer zuverlässigen Domain. Die Angreifer erstellen Anwendungen mit großen JavaScript-Paketen und Shadow DOM-basierten Strukturen, die aufgrund ihrer Komplexität und Isolation sowohl manuell als auch automatisch zu analysieren sind. Dieser Code Scrawl kann Umleitungen und falsche Formulare verstecken, die für die Erfassung von Anmeldeinformationen bestimmt sind, und in einigen Fällen wird die wahre Supplanting-Seite nach Überprüfungen wie die von Cloudflare präsentiert, um eine zusätzliche Schicht offensichtlicher Legitimität hinzuzufügen.

Die reale Gefahr ist, dass alle auf diesen Seiten eingegebenen Daten - Benutzer und Passwort, und in einigen Fällen Sekundärcodes oder Bestätigungen - in den Händen von Kriminellen enden. Mit Microsoft 365 Anmeldeinformationen kann ein Angreifer auf die Mail-, Kalender- und andere Unternehmensdienste zugreifen, die Tür zu Finanzbetrug, Filtration sensibler Informationen und Seitenbewegungen innerhalb eines Unternehmensnetzwerks öffnen.

Darüber hinaus warnen die Forscher, dass diese Form der Evasion alle Karten hat, um ein Standardstück in Phishing Kits und physisch-as- a- Service-Plattformen (PhaaS) zu werden. Diese Dienste integrieren bereits Techniken wie Session-Cookies Diebstahl, "adversary-in-the-middle" Schichten, die versuchen, die Authentifizierung von zwei Faktoren zu umgehen, Geo-Einschränkungen, um Opfer und Anti-Analyse-Tricks auszuwählen. Durch das Hinzufügen der Fähigkeit, böswillige Seiten in legitimer Infrastruktur zu verstecken, erhöhen sich die Wirksamkeit und der Umfang der Kampagnen.

In diesem Zusammenhang geht nicht alles verloren: Prävention und Bewusstsein bleiben leistungsfähige Werkzeuge. Bestätigen Sie die tatsächliche URL vor der Eingabe von Anmeldeinformationen, vertrauen Sie Links, die per Post ankommen, auch wenn sie auf bekannte Domains zeigen, und verwenden Sie robustere Authentifizierungsmethoden als Sicherheitsschlüssel oder Passkeys reduzieren die Auswirkungen dieser Art von Betrug. Für Organisationen ist die Aktivierung und Abstimmung von Schutzmechanismen auf Plattformen wie Microsoft 365 - einschließlich Anti-Phishing-Lösungen und Conditional Access Controls - eine zusätzliche Barriere, die von Herstellern empfohlen wird.

Wenn Sie vertiefen möchten, wie diese Kampagnen funktionieren und welche Maßnahmen die Sicherheitsbehörden empfehlen, sind die Berichte und Führer von Kaspersky ein guter Ausgangspunkt ( siehe Analyse) und Behörden wie CISA oder Vereinigtes Königreich NCSC praktische Empfehlungen zur Erkennung und Berichterstattung von Phishing. Microsoft veröffentlicht auch Anleitungen, um Microsoft 365 Umgebungen zu schützen und Anti-Phishing-Verteidigungen in ihre technischen Unterlagen.

Parallel dazu haben Nicht-Code-Plattform-Manager vor ihnen eine wichtige Herausforderung: die Erfahrung der Schöpfung und die schnelle Bereitstellung mit strengeren Missbrauchskontrollen auszugleichen. Einige Mittel, wie BlepingComputer Sie haben versucht, Bubbles Version dieser Ergebnisse zu erhalten, was die Notwendigkeit einer koordinierten Reaktion zwischen Lieferanten, Sicherheitsgemeinschaften und Nutzern hervorhebt, so dass die Flexibilität, die diese Tools bieten, nicht zu einem einfachen Weg für Betrug wird.

Am Tag bleibt die beste Verteidigung Vorsicht: kritisch auf unerwartete E-Mails zu schauen, Links zu validieren, bevor sie interagieren, höhere Überprüfungsstufen aktivieren und auf offizielle Kanäle zurückgreifen, wenn etwas nicht passt. Die Technik kann sich ändern, aber die Routine der Überprüfung vor dem Vertrauen bleibt eine der effektivsten Barrieren für den Diebstahl der Anmeldeinformationen.