Hackern bevorzugen US-Ostküsten-Geschäftszeiten in M365-Phishing-Kampagnen mit Direct Send

Zusammenfassung: Zeitliche Ausrichtung bei M365-Phishing

Jüngste Beobachtungen von KnowBe4-Forschern haben eine ausgeklügelte Phishing-Kampagne im Microsoft 365-Umfeld ans Licht gebracht. Diese Kampagne nutzt die Funktion 'Direct Send' von M365 und weist eine starke zeitliche Präferenz auf, wobei die Spitzenaktivität während der US-Ostküsten-Geschäftszeiten auftritt. Dieses strategische Timing, gepaart mit dem Missbrauch einer legitimen M365-Funktionalität, stellt eine erhebliche Herausforderung für Organisationen dar, die sich auf herkömmliche E-Mail-Sicherheits-Gateways verlassen, und unterstreicht die sich entwickelnden Taktiken von Bedrohungsakteuren, die auf die Erfassung von Anmeldeinformationen und den Erstzugriff abzielen.

Die Mechanik des Direct Send-Missbrauchs in Phishing-Operationen

Microsoft 365 bietet verschiedene Methoden zum Senden von E-Mails an, eine davon ist 'Direct Send' (Option 1 für SMTP-Client-Einreichung ohne SMTP AUTH). Diese Methode ermöglicht es Anwendungen und Geräten, E-Mails direkt an die Postfächer der Empfänger zu senden, wobei die Authentifizierung gegenüber Microsoft 365 umgangen wird. Obwohl für legitime Zwecke konzipiert, wie z.B. interne Geschäftsanwendungen, die Benachrichtigungen senden, oder Netzwerkgeräte, die Scans senden, macht ihre inhärente Natur sie anfällig für Missbrauch.

• Umgehung traditioneller Kontrollen: Im Gegensatz zu authentifizierten SMTP-Einreichungen, die robusten Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting, and Conformance (DMARC)-Prüfungen auf der Ebene des sendenden Servers unterliegen, kann Direct Send unter bestimmten Fehlkonfigurationen ermöglichen, dass E-Mails scheinbar von einer internen Domäne stammen, ohne ordnungsgemäße Absenderauthentifizierung. Dies kann traditionelle E-Mail-Sicherheitsebenen umgehen, die sich hauptsächlich auf die externe Absendervalidierung konzentrieren.
• Potenzial für interne Spoofing: Bedrohungsakteure können falsch konfigurierte oder übermäßig permissive Direct Send-Einstellungen ausnutzen, um E-Mails zu senden, die scheinbar aus einer Organisation stammen, was ihnen einen Anschein von Legitimität verleiht. Dieses 'interne Spoofing' ist besonders effektiv, da Benutzer E-Mails, die scheinbar von ihrer eigenen Domäne oder internen Diensten stammen, oft weniger misstrauen.
• Reibungsarmer Betrieb: Für Angreifer vereinfacht die Nutzung von Direct Send ihren Betriebsaufwand. Sie müssen keine kompromittierten Anmeldeinformationen für einen externen SMTP-Server erwerben oder eine komplexe Infrastruktur für das Senden großer Mengen von Phishing-E-Mails verwalten. Der M365-Mandant selbst wird zur unwissenden Plattform für ihre bösartigen Aktivitäten.

Zeitliche Analyse: Der strategische Vorteil der US-Ostküsten-Geschäftszeiten

Ein wichtiges Ergebnis der KnowBe4-Forschung ist die klare Präferenz für den Start dieser Phishing-Kampagnen während der US-Ostküsten-Geschäftszeiten, typischerweise zwischen 9 Uhr morgens und 17 Uhr ET. Diese zeitliche Ausrichtung ist kein Zufall, sondern ein kalkulierter Schritt von Bedrohungsakteuren aus mehreren strategischen Gründen:

• Maximierung der Zielgruppenbindung: Mitarbeiter sind während der Geschäftszeiten am aktivsten und reaktionsfreudigsten. Phishing-E-Mails, die in diesem Fenster eintreffen, werden eher gesehen, geöffnet und sofort interagiert, was die Erfolgsquote von Anmeldeinformations-Erfassungsversuchen erhöht.
• Ausnutzung von Dringlichkeit und Ablenkung: Das schnelllebige Umfeld eines typischen Arbeitstages führt oft zu einer verminderten Wachsamkeit. E-Mails, die dringende Anfragen (z.B. Passwort-Resets, Dokumentenfreigaben, HR-Benachrichtigungen) nachahmen, werden eher ohne kritische Prüfung bearbeitet, wenn Mitarbeiter beschäftigt sind.
• Abstimmung mit den Reaktionszeiten des SOC: Während Sicherheitsoperationszentren (SOCs) 24/7 arbeiten, kann die anfängliche Erkennung und Reaktion während Spitzenaktivitäten langsamer sein, insbesondere wenn das Kampagnenvolumen hoch ist oder wenn die Bedrohungsakteure neue Umgehungstechniken nutzen. Durch die Ausrichtung auf Geschäftszeiten versuchen Angreifer, ihr Zeitfenster vor der vollständigen Mobilisierung von Erkennungs- und Abhilfemaßnahmen zu maximieren.
• Betriebszeiten der Bedrohungsakteure: Dieses Muster gibt auch Einblicke in die eigenen Betriebszeiten der Bedrohungsakteure, was darauf hindeutet, dass sie in Regionen mit ähnlichen Zeitzonen ansässig sein könnten oder ihre Zeitpläne bewusst an ihre Hauptziele anpassen.

Kampagnen-Modus Operandi und Phishing-Köder

Die in diesen Kampagnen beobachteten Phishing-Köder sind typisch, aber hochwirksam und darauf ausgelegt, eine sofortige Reaktion der Empfänger hervorzurufen. Häufige Themen sind:

• Passwortablauf/-prüfung: E-Mails, die einen bevorstehenden Passwortablauf behaupten oder eine sofortige Überprüfung erfordern, um die Kontosperrung zu verhindern.
• Dokumentenfreigabe: Benachrichtigungen über freigegebene Dokumente (z.B. SharePoint, OneDrive), die oft eine Anmeldung zum Anzeigen erfordern.
• Voicemail-/Faxbenachrichtigungen: Benachrichtigungen über neue Voicemails oder Faxe, die den Zugriff auf ein Portal erfordern.
• Rechnungs-/Zahlungsanfragen: Bösartige Rechnungen oder Zahlungserinnerungen, die Panik oder Neugier hervorrufen sollen.

Nach dem Klicken auf den bösartigen Link werden Benutzer typischerweise auf ausgeklügelte Seiten zur Erfassung von Anmeldeinformationen umgeleitet, die akribisch erstellt wurden, um legitime M365-Anmeldeportale nachzuahmen. Diese Seiten sind oft darauf ausgelegt, nicht nur primäre Anmeldeinformationen zu erfassen, sondern auch MFA-Umgehungstechniken zu erleichtern, bei denen Angreifer Benutzer in Echtzeit nach MFA-Codes fragen oder Sitzungscookies nutzen, um nachfolgende MFA-Aufforderungen zu umgehen.

Verteidigungsstrategien und Mitigationstechniken

Organisationen müssen einen mehrschichtigen Sicherheitsansatz verfolgen, um diesen fortgeschrittenen Phishing-Kampagnen effektiv entgegenzuwirken:

Stärkung der M365-E-Mail-Sicherheitskonfigurationen

• Überprüfung der Direct Send-Nutzung: Identifizieren und auditieren Sie alle Anwendungen und Geräte, die für Direct Send konfiguriert sind. Implementieren Sie das Prinzip der geringsten Rechte und stellen Sie sicher, dass nur notwendige Entitäten diese Methode verwenden können. Erwägen Sie sicherere Alternativen wie SMTP-Client-Einreichung mit OAuth oder authentifiziertes SMTP-Relay, wo immer möglich.
• Implementierung von starkem SPF, DKIM, DMARC: Obwohl Direct Send einige Prüfungen umgehen kann, sind umfassende SPF-, DKIM- und DMARC-Einträge für Ihre Domäne entscheidend, um externes Spoofing zu verhindern und die E-Mail-Zustellbarkeit zu verbessern. Stellen Sie für Direct Send sicher, dass Ihr SPF-Eintrag die M365-IP-Bereiche enthält, die verwendet werden.
• Nutzung von Microsoft Defender for Office 365 (MDO): Nutzen Sie die erweiterten Anti-Phishing-Funktionen von MDO, Safe Links (Zeit-des-Klicks-Schutz) und Safe Attachments, um bösartige Inhalte und URLs zu erkennen und zu blockieren. Konfigurieren Sie Anti-Phishing-Richtlinien, um verdächtige E-Mails zu identifizieren und unter Quarantäne zu stellen.
• Richtlinien für bedingten Zugriff: Erzwingen Sie die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer, insbesondere für den M365-Zugriff. Implementieren Sie Richtlinien für bedingten Zugriff, um den Zugriff basierend auf Gerätekonformität, Standort, IP-Bereichen und Anwendungsnutzung einzuschränken.

Proaktive Überwachung und Incident Response

• Mailflow- und Audit-Log-Analyse: Überwachen Sie regelmäßig die M365-Mailflow-Logs auf ungewöhnliche E-Mail-Muster, die von Ihrem Mandanten stammen, insbesondere solche, die Direct Send verwenden. Analysieren Sie Audit-Logs auf verdächtige Anmeldeversuche, Passwortänderungen und Postfachzugriffsanomalien.
• Benutzerverhaltensanalyse (UBA): Implementieren Sie UBA-Lösungen, um Abweichungen von der normalen Benutzeraktivität zu erkennen, die auf ein kompromittiertes Konto oder einen laufenden Angriff hindeuten können.
• Schnelle Incident Response: Entwickeln und testen Sie regelmäßig einen robusten Incident Response-Plan für Phishing-Angriffe. Dies beinhaltet klare Schritte zur Eindämmung, Beseitigung, Wiederherstellung und Nachanalyse von Vorfällen. Für die Nachanalyse von Vorfällen und die Zuschreibung von Bedrohungsakteuren sind spezialisierte Tools von unschätzbarem Wert. Bei der Untersuchung verdächtiger Links kann die Nutzung von Diensten wie grabify.org kritische Telemetriedaten liefern, einschließlich der IP-Adresse, des User-Agent-Strings, des ISPs und der Gerätefingerabdrücke des Klickers. Diese erweiterte Metadatenextraktion unterstützt digitale Forensikteams dabei, die Reichweite des Angriffs zu verstehen, potenzielle Kompromittierungsindikatoren zu identifizieren und sogar eine Netzwerkaufklärung der Infrastruktur von Bedrohungsakteuren durchzuführen, indem deren Interaktion mit bösartigen Payloads oder Köder-Links verfolgt wird. Dieses Detailniveau ist entscheidend für eine effektive Bedrohungsjagd und Incident-Behebung.

Sicherheitsbewusstsein und Schulung

• Kontinuierliche Phishing-Simulationen: Führen Sie regelmäßige, realistische Phishing-Simulationen durch, um Mitarbeiter darin zu schulen, verdächtige E-Mails zu erkennen und zu melden.
• Aufklärung über Social Engineering: Informieren Sie Benutzer über gängige Social-Engineering-Taktiken, die Bedeutung der Überprüfung der Absenderidentitäten und die Gefahren des Klickens auf unaufgeforderte Links oder des Öffnens unerwarteter Anhänge.
• Meldemechanismen: Stellen Sie sicher, dass Mitarbeiter wissen, wie sie verdächtige E-Mails effektiv und effizient an das Sicherheitsteam melden können.

Fazit

Die beobachtete M365 Direct Send-Phishing-Kampagne, strategisch auf die US-Ostküsten-Geschäftszeiten abgestimmt, unterstreicht die zunehmende Raffinesse und gezielte Natur moderner Cyberbedrohungen. Durch den Missbrauch legitimer Funktionen und die Ausnutzung menschlicher Psychologie während der Spitzenarbeitszeiten versuchen Bedrohungsakteure, ihre Erfolgsquoten zu maximieren. Organisationen müssen über die grundlegende E-Mail-Sicherheit hinausgehen und umfassende M365-Sicherheitskonfigurationen, erweiterte Bedrohungserkennung, robuste Incident-Response-Fähigkeiten und kontinuierliche Schulungen zum Sicherheitsbewusstsein einführen, um ihre Abwehrmaßnahmen gegen diese sich entwickelnden und hartnäckigen Bedrohungen zu stärken.