Aanvallers laten phishingmails versturen via legitieme diensten, zo omzeilen ze e-mailfilters

Bij deze methode bootsen aanvallers een bekend merk niet alleen na, maar gebruiken ze het platform zelf. Een slachtoffer kan daardoor een echte notificatie van bijvoorbeeld DocuSign of QuickBooks ontvangen, met een legitiem afzenderadres en de huisstijl van het platform. Alleen een link in het bericht leidt uiteindelijk naar kwaadaardige content. Omdat de e-mail afkomstig is van een domein met een goede reputatie, kunnen traditionele e-mailbeveiligingsoplossingen de aanval slecht herkennen.

DocuSign en QuickBooks goed voor bijna twee derde

Samen waren DocuSign en QuickBooks verantwoordelijk voor bijna twee derde van de 53.000 LOTS-phishingmails. Het misbruik van DocuSign nam in elk van de drie onderzochte maanden toe. Ook Adobe en Dropbox werden vaker gebruikt: het aantal phishingmails via Dropbox verdrievoudigde bijna, en het misbruik van Adobe groeide in drie maanden tijd met meer dan het dubbele.

Volgens het onderzoek speelt vertrouwen een grote rol. Sommige platforms sturen automatisch een melding als iemand een document deelt, en aanvallers kunnen die functie gebruiken om vanuit het platform zelf een legitieme notificatie te laten versturen. Bovendien staan veelgebruikte zakelijke diensten bij organisaties vaak op allow lists, zodat belangrijke meldingen niet in de spamfolder terechtkomen.

Gratis accounts verlagen de drempel

Voor aanvallers is de drempel laag. Veel van de onderzochte diensten bieden een gratis abonnement of proefperiode, waardoor een account binnen enkele minuten is aangemaakt. Daarmee kunnen criminelen de infrastructuur van een vertrouwd platform gebruiken om hun berichten in de inbox van het slachtoffer te krijgen.

Drie methoden na de klik

De onderzoekers zagen na het aanklikken van de link drie aanvalsmethoden. Bij de eerste komt het slachtoffer op een nagemaakte inlogpagina terecht, waar bijvoorbeeld Microsoft-inloggegevens worden gevraagd die rechtstreeks naar de aanvaller gaan. Soms wordt daarbij een Adversary-in-the-Middle-techniek (AiTM) gebruikt. De aanvaller zit dan tussen het slachtoffer en de echte inlogomgeving en stuurt het inlogproces in realtime door, waardoor hij ook de geauthenticeerde sessie kan onderscheppen, zelfs als het slachtoffer MFA gebruikt.

De tweede methode misbruikt de OAuth device-authorization flow. De aanvaller start zelf een inlogproces en stuurt de bijbehorende code naar het slachtoffer, bijvoorbeeld met het verzoek die in te voeren om een Adobe-document te openen. Het slachtoffer voert de code in op de echte inlogpagina, logt in en doorloopt ook de MFA-controle. Zo rondt het slachtoffer ongemerkt het door de aanvaller gestarte inlogproces af. De aanvaller krijgt een geldige sessie zonder het wachtwoord te hoeven stelen.

Legitieme beheersoftware als toegangspoort

Bij de derde methode probeert de aanvaller het slachtoffer legitieme Remote Monitoring and Management-software (RMM) te laten installeren, zoals ScreenConnect, AnyDesk of Atera. Op de phishingpagina wordt die software aangeboden als programma dat nodig zou zijn om een gedeeld document te openen. Omdat IT-afdelingen en IT-dienstverleners dergelijke programma's ook gebruiken en ze digitaal zijn ondertekend, worden ze niet altijd door beveiligingssoftware tegengehouden. Na installatie heeft de aanvaller op afstand volledige toegang tot het apparaat en kan hij proberen verder door te dringen in de organisatie.

“Deze ontwikkeling maakt duidelijk dat een legitieme afzender niet automatisch betekent dat ook de inhoud van een e-mail te vertrouwen is”, zegt James Dyer, Head of Threat Intelligence bij KnowBe4. “We zijn gewend om extra alert te zijn op onbekende afzenders en verdachte domeinen, maar cybercriminelen maken juist steeds vaker gebruik van diensten die medewerkers dagelijks gebruiken en vertrouwen. Daardoor moeten organisaties verder kijken dan alleen de technische reputatie van een afzender of link. Het is belangrijk dat medewerkers bij een onverwacht verzoek via een bekend platform kritisch blijven en bijvoorbeeld rechtstreeks inloggen op het platform in plaats van een link in de e-mail te gebruiken.”

KnowBe4 Threat Lab heeft een uitgebreide technische analyse gepubliceerd, met onder meer de meest misbruikte diensten, de aanvalsmethoden en aanbevelingen voor verdediging.