IT-Security Mai/Juni 2023

IT SECURITY | 29
Denn wie bei allen Social-Engineering-
Methoden reicht ein einziger erfolgreicher
Angriff auf einen einzelnen Mitarbeiter
aus, damit sich Kriminelle Zugang
zum Unternehmensnetzwerk verschaffen
können. Um die Erfolgschancen
zu erhöhen, werden die Opfer durch
weitere Maßnahmen dazu verleitet, ankommenden
Aufforderungen zur Authentifizierung
über das Smartphone
nachzukommen. So geben sich Angreifer
als IT-Support aus und nutzen gefälschte
Telefonnummern, um ihre Opfer
anzurufen. Ebenfalls üblich ist der
Versand von SMS mit der Bitte um Entschuldigung
für die Unannehmlichkeiten
bei der Benutzung von IT-Systemen.
Der Benutzer müsse kurz die Anfrage
bestätigen, sodass eine normale Arbeit
wieder möglich sei.
Eine weniger auffällige, aber ebenso
wirksame Variante erfordert Vorarbeit
durch Ausspähen der Opfer im Rahmen
der Informationsbeschaffung vor dem
Angriff. Weiß der Angreifer beispielsweise,
wann das potenzielle Opfer mit
der Arbeit beginnt oder von der Mittagspause
zurückkehrt, kann dieser einen
guten Zeitpunkt für einen Angriffsversuch
abpassen. Beim Arbeitsbeginn
oder bei der Wiederanmeldung an Systemen
sind Menschen weniger vorsichtig,
weil sie es gewohnt sind, nach einer
längeren Phase der Inaktivität zur Eingabe
eines zweiten Faktors aufgefordert
zu werden. Passt der Angreifer
diesen Zeitpunkt ab, ist die Chance,
dass das Opfer der Aufforderung nachkommt,
deutlich höher.
Adversary in the Middle (AiTM)
Die Gefahr für einen Angreifer bei der
Überflutung der Benutzer durch MFA-
Anfragen aufzufallen, ist äußerst
hoch. Eine weniger auffällige Methode
ist die Erstellung von Phishing-Webseiten,
die nicht nur Zugangsdaten
abgreifen, sondern obendrein als Vermittler
zwischen dem Opfer und der
eigentlichen Applikation dienen. Man
spricht hier vom „Adversary in the
Middle“ (AiTM).
Mit Hilfe frei zugänglicher Werkzeuge
erstellt der Angreifer eine exakte Kopie
des Portals, zu dem er sich Zugriff verschaffen
will. Nun muss der Angreifer
das Opfer auf diese Kopie locken. Hierfür
werden die gängige Methoden wie
eine Aufforderung per E-Mail, SMS
oder ähnliche Wege genutzt.
Mit modernen Texterstellungshelfern
wie ChatGPT lässt sich eine gefälschte
E-Mail mit der richtigen Wortwahl erstellen,
um zum Beispiel Zugänge für
eine „Microsoft 365“-Instanz (M365)
eines Unternehmens zu erlangen. Diese
kann anschließend an die Mitarbeitenden
im Unternehmen versendet werden.
Die entsprechende Formatierung und
eine vertrauenswürdig aussehende Absenderdomain
steigern die Chancen auf
Erfolg.
www.it-daily.net | Mai/Juni 2023