Unternehmen in drei Ländern sahen sich im Mai 2024 Phishing-Angriffen ausgesetzt: Wie das Team um ESET Forscher Jakub Kaloc herausfand, versuchten Angreifer per E-Mail verschiedene Schadprogramme zum Informationsdiebstahl (Infostealer) zu verbreiten. Besonders kleine und mittlere Unternehmen in Polen waren hiervon betroffen. Die Angreifer nutzten bereits zuvor kompromittierte E-Mail-Konten und Unternehmensserver, um nicht nur bösartige E-Mails zu verbreiten, sondern auch um Malware zu hosten und gestohlene Daten zu sammeln.
„Insgesamt haben wir neun Phishing-Kampagnen registriert, von denen sieben im Mai auf Polen abzielten“, erklärt ESET ForscherJakub Kaloc, der die Phishing-Kampagnen analysierte. „Die Schadsoftware, die in diesen Kampagnen verbreitet wurde, variiert zwischen verschiedenen Infostealern und Überwachungssoftware. Allein im Mai 2024 schützten ESET Produkte über 26.000 Anwender vor dieser Bedrohung – über 21.000 davon in Polen.“
Eine E-Mail als Türöffner für Cyberkriminelle
Alle Kampagnen liefen nach einem ähnlichen Schema ab. Das Zielunternehmen erhielt eine E-Mail mit einem Geschäftsangebot. Ähnlich wie bei vorigen Phishing-Attacken gaben sich die Angreifer glaubhaft als echte Unternehmen und deren Mitarbeiter aus. Selbst wenn das potenzielle Opfer nach den üblichen Warnsignalen suchte, waren diese nicht vorhanden: Die Nachricht sah so legitim aus, wie sie nur hätte sein können.
Diese E-Mails enthielten einen bösartigen Anhang. Der Nachrichtentext sollte potenzielle Opfer zum Öffnen der angehängten Datei verleiten, beispielsweise indem sie Interesse an einem Produkt vorheuchelte. Bei der Datei selbst handelte es sich entweder um eine ISO-Datei oder ein Archiv mit der ausführbaren Datei ModiLoader. ModiLoader ist ein Delphi-Downloader mit einer einzigen Aufgabe: Malware herunterzuladen und zu starten. In zwei der Kampagnen waren die ModiLoader-Samples so konfiguriert, dass sie die nächste Stufe der Malware von einem kompromittierten Server eines ungarischen Unternehmens herunterluden. Bei den übrigen Kampagnen erhielten die ModiLoader die nächste Stufe von einem Microsoft OneDrive-Speicher.
Weitere Informationen zu den Phishing-Kampagnen gibt es im Blogpost „Phishing-Angriffe auf europäische KMU” auf WeLiveSecurity-com.
Kompromittierungskette der ModiLoader-Phishing-Kampagnen in Polen im Mai 2024
