Phishing mit Callcenter und gefälschtem Probeabo
Statt zur Kündigung eines Abos führt der Anruf beim Callcenter zu einem Malware-Angriff. (Bild: Gregg Jackson/Pixabay)
Die Angriffe beginnen üblicherweise mit einer Phishing-E-Mail, welche die Opfer auf ein vermeintlich bald auslaufendes Probeabonnement hinweist. Sollte das Opfer das Abo nicht unter einer bestimmten Telefonnummer kündigen, werde in der Folge eine monatliche Gebühr erhoben.
„Wenn die Empfänger die Nummer anrufen, werden sie von einem betrügerischen Callcenter, das von den Angreifern betrieben wird, angewiesen, eine Website zu besuchen und eine Excel-Datei herunterzuladen, um den Dienst zu kündigen. Die Excel-Datei enthält ein bösartiges Makro, das die eigentliche Schadsoftware herunterlädt“, erklärt Microsoft Security Intelligence auf Twitter.
Der Trick, Schadsoftware per Office-Makros zu tarnen und zu installieren, wird bereits seit über 20 Jahren angewendet.
Phishing-E-Mails schwer zu erkennen
Laut dem Sicherheitsteam von Microsoft verwendet die Gruppe das Penetrationstest-Kit Cobalt Strike, um Zugangsdaten zu stehlen, darunter auch die Active-Directory-Datenbank. Mit den Zugangsdaten können die Eindringlinge dann beispielsweise weiter in Firmennetzwerke vordringen.
Da die E-Mails selbst keine Schadelemente enthielten, sei die Erkennung eine Herausforderung, schreibt das Sicherheitsteam von Microsoft. Entsprechende Erkennungs-Querys, die auch von Microsoft 365 Defender verwendet werden, stellt das Team auf GitHub zur Verfügung. Diese sollen bei Bedarf aktualisiert werden.
Autor des Artikels ist Moritz Tremmel.
Bitte beachte unsere Community-Richtlinien
Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.
Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.
Dein t3n-Team