Was ist eigentlich Delayed Phishing? Im Prinzip unterscheidet es sich kaum von den herkömmlichen Phishing-Links mit der Ausnahme das sie verzögert ausgeführt werden. Sie werden also quasi erst zu einem späteren Zeitpunkt aktiv. Somit können diverse Antispam Engines und Scanner umgangen werden. Phishing gilt seit langem als wichtiger Angriffspunkt in Unternehmensnetzwerken.
Es ist daher kein Wunder, dass E-Mail-Anbieter, Mail-Gateways, Browser & Co. Antiphishing-Filter und Mail-Scanner einsetzen, um die Sicherheit ihrer Kunden zu garantieren. Aus diesem Grund lassen sich Cyberkriminelle ständig neue Methoden zur Umgehung dieser Filter einfallen, oder arbeiten am Feinschliff der bereits bestehenden Methoden. Dazu gehört beispielsweise auch das sogenannte „Delayed Phishing“ (verzögertes Phishing)
Was ist eigentlich Delayed Phishing?
Man bezeichnet den Versuch, ein Opfer mithilfe einer als Post Delivery Weaponized URL bezeichneten Technik auf eine Fake-Webseite zu locken auf der sich ein Schadcode befindet. Im Prinzip wird zunächst eine E-Mail mit einem Link verschickt, der zum Zeitpunkt der Zustellung noch eine legitime Ressource darstellt. Also ungefährlich erscheint. Es befinden sich noch keine schädlichen Inhalte hinter diesem Link. Nach der Zustellung der E-Mail wird jedoch die Zielseite verändert und nun verweist der Link plötzlich auf schadhafte Inhalte. Cyberkriminelle nutzen diese Technik um die Scanner auszutricksen. Denn die E-Mails werden nach Eintreffen gescannt. Die Schutzmechanismen spüren den Link in der E-Mail auf, scannen die verlinkte Seite und stellen nichts Verdächtiges fest. Die E-Mail wird dem Benutzer zugestellt.
In der Zwischenzeit wurde das Ziel geändert bzw. die vermeintlich harmlose Webseite beinhaltet plötzlich schadhafte Inhalte. Dabei sind den Cyber-Kriminellen keine Grenzen gesetzt. Ob sie nun Banking-Seiten nachbauen oder Malware auf Ihren Rechner herunterladen, quasi Drive-By Trojaner etc. ist dabei völlig offen. Je mehr Phantasie die Angreifer haben um so mehr Opfer gibt es am Ende.
Wie werden die Scanner ausgetrickst?
Die Angreifer nutzen mehrere Methoden um ihre Phishing-E-Mails zu platzieren. Teilweise werden Simple Links verwendet. Kriminelle hacken oder Hijacken bekannte Webseiten oder Webseiten mit harmlosen Inhalten und verwenden diese als Ziel-URL. Häufig werden dabei auch einfach Fehlerseiten 404 verlinkt. Wie beschrieben wird die Ressource nach Versand der Phishing E-Mail ausgetauscht und mit Schadcode bestückt.
Short-Links werden ebenfalls häufig verwendet. Lange URLs können mit Short-Links verkürzt werden und es den Benutzern erleichtern sich diese Links zu merken. Mit eigenen Diensten können jedoch die Inhalte, die hinter einem Short-Link stehen, geändert werden. Da es im Prinzip um einfache Umleitungen handelt können diese im Nachgang auch verändert werden und dann auf Inhalte verweisen welche schädlich sein können. Zufällige Kurzlinks werden ebenfalls verwendet. Einige Tools zum Kürzen der URL ermöglichen eine probabilistische Umleitung. Das heißt, der Link hat eine 50%ige Chance, zu google.com zu führen, und eine 50%ige Chance, eine Phishing-Site zu öffnen. Die Möglichkeit, auf einer legitimen Site zu landen, kann Webcrawler scheinbar verwirren.
Wann werden Links ausgetauscht?
Man kann nicht direkt sagen, wann die Inhalte hinter den Links getauscht werden und dann schädliche Inhalte bereitstellen. Beobachtungen zufolge werden viele solcher Phishing Links in der Nacht versendet. Häufig nach Mitternacht. Kurz vor Tagesanbruch, also sehr früh werden die Inhalte dann getauscht. Der Austausch passiert also nicht unmittelbar sondern einige Stunden verzögert. Anti-Phishing Trigger schlagen sehr häufig zwischen 7 und 10 Uhr an.
Kann man Delayed Phishing erkennen?
Ja, es gibt Mechanismen welche solche Inhalte ausspüren können. Zum einen könnte man das Postfach zu einem späteren Zeitpunkt nochmal scannen. Bis dahin ist der schädliche Inhalte evtl. bekannt und die E-Mail kann nachträglich aus dem Postfach entfernt werden. Eine bessere Variante ist die Time-of-Click Prüfung. Unser Partner Hornet Security bietet hier eine abgestimmte Lösung für Delayed Phishing E-Mails an. Die Inhalte der Links werden nicht nur beim Eintreffen der E-Mails gescannt oder auch bei jedem Klick auf den Link. Ändert sich also der Inhalt kann es zum Zeitpunkt des Aufrufes bestimmt werden. Weitere Informationen zu diesem Service finden Sie auch hier.
Der Vorteil von der Time-of-Click Variante liegt auf der Hand. Es ist mit dieser Funktion auch möglich Cloud-basierte Dienste wie Microsoft365 oder Hosted Exchange zu verwenden. Cloud-Postfächer scannen ist zwar bei diversen Anbietern ebenfalls möglich, aber eine erhöhte Schutzfunktion erhält man bei der Time-of-Click Funktion da diese in Echtzeit die Inhalte prüfen kann.
Gerne stellen wir Ihnen die Lösung von Hornet Security vor. Nehmen Sie unverbindlich Kontakt zu uns auf. Wir erläutern Ihnen die Vorzüge der Advanced Threat Protection von Hornet Security welche auch Sandboxing und weitere tolle Features im Kampf gegen Spam und Phishing beinhaltet.
