Das Quantum Route Redirect Kit: eine neue Welle gezielter Phishing-Angriffe

• Erkennung von Mensch vs. Bot: Das Kit kann zwischen echtem menschlichem Traffic und automatisierten Bots oder Scannern unterscheiden. Echte Benutzer werden auf Phishing-Websites weitergeleitet, während Bots auf harmlose, legitime Domains (z. B. google.com) umgeleitet werden.
• Gezieltes Phishing: Sobald ein echter Benutzer identifiziert wurde, wird er auf eine Phishing-Seite weitergeleitet, die darauf ausgelegt ist, Anmeldedaten abzugreifen. Diese Zugangsdaten ermöglichen den Zugriff auf sensible Unternehmensdaten und sind daher ein attraktives Ziel für Angreifer.
• Zentralisierte Steuerung über das Quantum-Dashboard: Cyberkriminelle können alle Aspekte ihrer Phishing-Kampagnen über ein zentrales Dashboard verwalten. Dieses ermöglicht es ihnen, Opferaktivitäten zu verfolgen, Weiterleitungsregeln zu konfigurieren und Opfer-Logs in Echtzeit zu analysieren.

Während unserer Untersuchung erhielten wir Zugriff auf mehrere aktive Quantum-Dashboards. Dadurch konnten wir Kampagnenkonfigurationen, Weiterleitungsregeln und Opferdaten analysieren. In einem Fall stellten wir fest, dass 1.052 Benutzer versuchten, eine Phishing-Website zu besuchen. Obwohl die Konfiguration des Kits fehlerhaft war – was dazu führte, dass viele Benutzer fälschlicherweise als Bots eingestuft und auf sichere Domains umgeleitet wurden – konnten wir wertvolle Erkenntnisse über die Angriffsinfrastruktur gewinnen.

Die entdeckte schädliche Infrastruktur wird aktiv durch unsere SecureDNS-Lösung blockiert.

Unser SOC-Team erhielt außerdem Zugriff auf das vollständige Quantum Redirect Phishing Kit und analysierte es umfassend. Dies spielte eine entscheidende Rolle beim Verständnis, wie Bedrohungsakteure zwischen Bots und echten Benutzern unterscheiden, und ermöglicht es uns, unsere Kunden besser zu schützen.

Unsere detaillierte Analyse des Quantum Route Redirect Kits brachte mehrere kritische Erkenntnisse zutage:

• Über 600 bösartige Domains: Wir identifizierten mehr als 600 Domains, die in diesen Phishing-Kampagnen verwendet wurden. Alle diese Domains wurden durch SecureDNS blockiert, um weitere Gefährdungen unserer Kunden zu verhindern.
• Analyse von IP-Adressen: Wir stellten Logs von IP-Adressen sicher, die als „gephisht“ markiert oder zu schädlichen Inhalten weitergeleitet wurden. Diese IPs wurden mit unserer internen Telemetrie abgeglichen, und wir können bestätigen, dass zum Zeitpunkt unserer Analyse keiner unserer Kunden von diesem Phishing-Kit betroffen war.
• Häufige Fehlkonfigurationen: Das Quantum Route Redirect Kit ist oft schlecht optimiert und falsch konfiguriert. Dadurch wurde eine erhebliche Anzahl von Benutzern fälschlicherweise als Bots eingestuft und auf eine harmlose Domain umgeleitet. Wir haben dieses Wissen genutzt, um unsere Erkennungsmechanismen weiter zu verfeinern und sicherzustellen, dass ähnliche Fehler nicht zu übersehenen Bedrohungen führen.
• Was online als hochentwickeltes Phishing-Kit bezeichnet wurde, entpuppte sich in Wirklichkeit als schlecht entwickeltes Phishing-Kit.
• Das Phishing-Kit befolgte keine Best Practices der sicheren Softwareentwicklung, wie zum Beispiel:
  • den Schutz des direkten Zugriffs auf Konfigurationsdateien, Administrationsseiten und Quellcode;
  • sämtliche Konfigurationen und „Phishing-Domains“ waren auch ohne Anmeldung im Admin-Panel des Quantum Route Redirect Kits zugänglich.
  • Diese schlechte Optimierung ermöglichte es uns, auf eine große Menge an Informationen über das Phishing-Kit zuzugreifen.
• Das Phishing-Kit wurde entwickelt, um Bots zu „erkennen“ und sie von echten Menschen zu unterscheiden.
  Die Art und Weise, wie der Code bestimmt, ob man ein Bot ist oder nicht, ist sehr einfach:
  • Zunächst wird überprüft, ob ein bekannter Browser verwendet wird. Mit „bekannt“ ist ein Browser gemeint, der in der dem Phishing-Kit beigefügten Browserliste enthalten ist.
  • Anschließend wird geprüft, welchen Gerätetyp man verwendet (mobil, Mac, Windows, …).
  • Wenn eine dieser Bedingungen nicht erfüllt ist, wird man als „Bot“ eingestuft.
  • Das bedeutet auch, dass bei Verwendung eines Browsers wie Brave oder eines Browsers, der nicht in der Liste enthalten ist, automatisch eine Weiterleitung zur „Bot“-URL erfolgt.

Obwohl frühe Berichte darauf hindeuteten, dass 80 % der Opfer von Quantum-basierten Phishing-Kampagnen aus den Vereinigten Staaten stammen, zeigte unsere Untersuchung ein anderes Muster. Wir beobachteten eine starke Ausrichtung auf Westeuropa und identifizierten nahezu 2.000 europäische IP-Adressen, die in diesen Portalen als mit dem Phishing-Kit verbunden protokolliert wurden.

Die meisten davon wurden als BOT erkannt, einige wurden zur zweiten Phase des Phishing-Zyklus weitergeleitet.

Die betroffenen Länder waren:

• Belgien
• Frankreich
• Deutschland
• Schweiz
• Österreich
• Niederlande

Obwohl wir umfangreiche Maßnahmen zum Schutz unserer Kunden ergriffen haben, empfehlen wir Ihnen zusätzlich, die folgenden Best Practices zu befolgen, um das Risiko von Phishing und anderen Cyberbedrohungen weiter zu reduzieren:

• Aktivieren Sie Multi-Faktor-Authentifizierung (MFA)
  MFA ist eine der effektivsten Methoden zum Schutz von Konten, selbst wenn Zugangsdaten kompromittiert wurden.
• Verwenden Sie Conditional Access und risikobasierte Anmelderichtlinien (für M365-Tenants)
  Nutzen Sie Richtlinien, um den Zugriff basierend auf Benutzerverhalten, Standort oder Geräterisiko einzuschränken und so unbefugten Zugriff zu verhindern.
• Seien Sie vorsichtig bei Links in E-Mails oder SMS
  Seien Sie stets misstrauisch gegenüber unerwarteten E-Mails oder Textnachrichten mit Links. Im Zweifel prüfen Sie die Domain sorgfältig oder rufen Sie die offizielle Website des Unternehmens manuell auf, um zu überprüfen, ob die Kommunikation dort ebenfalls verfügbar ist.
• Überprüfen Sie Anmeldeseiten
  Kontrollieren Sie die URL jeder Anmeldeseite genau, bevor Sie Zugangsdaten eingeben. Authentische M365-Anmeldeseiten gehören immer zu Domains im Besitz von Microsoft.
• Halten Sie Systeme stets aktuell
  Stellen Sie sicher, dass Browser, Betriebssysteme und Sicherheitssoftware immer mit den neuesten Updates und Patches versehen sind.
• Melden Sie verdächtige E-Mails umgehend
  Wenn Sie eine verdächtige E-Mail erhalten, melden Sie diese innerhalb Ihrer Organisation.
  Sie können verdächtige Nachrichten auch an [email protected] weiterleiten.

Dank unserer proaktiven Maßnahmen und der kontinuierlichen Analyse des Quantum Route Redirect Kits konnten wir den Großteil der mit dieser Phishing-Bedrohung verbundenen Domains erfolgreich blockieren und so die Sicherheit Ihrer Organisation gewährleisten. Wir werden unsere Schutzmaßnahmen weiterhin überwachen und anpassen, um neuen Bedrohungen stets einen Schritt voraus zu sein – damit Sie sich auf das Wesentliche für Ihr Unternehmen konzentrieren können.

Für weitere Informationen oder Fragen wenden Sie sich bitte an unser Support-Team unter [email protected]