Ein neu analysiertes Phishing-Kit nutzt kompromittierte Websites, um Secure Email Gateways und klassische MFA zu umgehen. Welche technischen Schwächen werden ausgenutzt und wie reagieren Unternehmen darauf
Eine aktuelle Analyse des KnowBe4 Threat Labs zeigt, dass Angreifer mit einem als "Bulletproof" bezeichneten Phishing-Kit gezielt Schwachstellen klassischer E-Mail-Sicherheitsmechanismen ausnutzen. Die Infrastruktur hinter dem Angriff bleibt dabei weitgehend verborgen, da kompromittierte, aber ursprünglich legitime Websites als vorgeschaltete Weiterleitungsstationen dienen. Dadurch gelingt es, schädliche Links an den etablierten Schutzmechanismen vieler Unternehmen vorbei in die Posteingänge der Nutzer zu bringen.
Technische Funktionsweise des Angriffs
Das "Bulletproof Blind Redirector"-Kit nutzt kompromittierte Websites, um die eigentliche Phishing-Infrastruktur zu verschleiern. Ein in der E-Mail enthaltener Link verweist zunächst auf eine legitime, aber kompromittierte Domain. Erst nach dem Klick wird das Opfer serverseitig auf die eigentliche Phishing-Seite weitergeleitet. Die Angreifer setzen dabei auf ein serverseitiges Kampagnen-Token, das die Zielseite verbirgt. Die eigentliche Infrastruktur, die Anmeldedaten und Sitzungen abfängt, bleibt so für Sicherheitslösungen unsichtbar. Nach Angaben der Sicherheitsforscher werden dabei auch IP-Adresse und User-Agent geprüft, um automatisierte Scanner zu erkennen und auszuschließen.
Zwischen dem 29. April und dem 14. Juli 2026 wurden laut Analyse Tausende E-Mails über Dutzende kompromittierte Websites verteilt. Herkömmliche Secure Email Gateways (SEGs) und URL-Reputationsprüfungen konnten diese Angriffe nicht erkennen. Besonders kritisch ist, dass die eingesetzten Adversary-in-the-Middle-(AiTM)-Kits wie "Sneaky2FA" und "Tycoon 2FA" in der Lage sind, auch Multi-Faktor-Authentifizierung (MFA) zu umgehen, indem sie authentifizierte Sitzungen in Echtzeit abfangen.
Umgehung von MFA und E-Mail-Gateways
Die Hauptfunktion des Kits besteht darin, die eigentliche AiTM-Infrastruktur zu schützen und die Erfassung von Anmeldedaten und Sitzungen zu ermöglichen, ohne dass diese Infrastruktur direkt in der E-Mail sichtbar wird. Die Redirector-URL wird nach der Weiterleitung aus dem Browserverlauf entfernt, was eine nachträgliche Analyse erschwert. Die Angreifer nutzen dabei eine Wegwerfinfrastruktur: Werden kompromittierte Hosts entdeckt oder bereinigt, werden sie rasch durch neue ersetzt. Nach Angaben der Analyse entfielen rund 34 Prozent der beobachteten Zustellungen auf Absenderinfrastrukturen von QuickBooks und DocuSign.
Die eingesetzten AiTM-Plattformen können klassische MFA-Schutzmechanismen aushebeln, indem sie sich in den Authentifizierungsprozess einschleusen und das bereits bestätigte Session-Token abfangen. So erhalten Angreifer Zugriff auf eine gültige Sitzung, obwohl das Opfer die MFA-Anforderung korrekt erfüllt hat. Die Zahl der erfolgreichen Zustellungen ging ab Mitte Juni zurück, doch die zugrunde liegende Infrastruktur bleibt weiterhin aktiv.
Empfohlene Schutzmaßnahmen und offene Fragen
Das KnowBe4 Threat Labs-Team empfiehlt, auf phishing-resistente MFA-Verfahren wie FIDO2 oder Hardware Security Keys zu setzen, da diese nicht einfach durch einen Proxy weitergeleitet werden können. Zusätzlich sollten Unternehmen Richtlinien zur Überprüfung der Gerätekonformität und zur Erkennung von Anmeldungen aus ungewöhnlichen Netzbereichen implementieren. Ein Monitoring auf verdächtige Wiederverwendung von OAuth-Session-Tokens wird ebenfalls angeraten. Auffällige Anmeldungen von unbekannten IP-Adressen unmittelbar nach erfolgreicher MFA könnten auf einen AiTM-Angriff hindeuten.
Die Analyse macht deutlich, dass klassische E-Mail-Sicherheitslösungen allein nicht ausreichen, um diese Angriffsmuster zuverlässig zu erkennen. Auch die Kombination aus vertrauenswürdigen Absendern und legitimen, aber kompromittierten Websites erschwert die Erkennung erheblich. Die Frage, wie Unternehmen und Behörden künftig auf diese Entwicklung reagieren, bleibt offen. In anderen Bereichen der Cybersicherheit, etwa bei der Überwachung von Krypto-Transaktionen, wurden bereits strengere Maßnahmen eingeführt, wie ein Beispiel aus Japan zeigt.
Relevanz für Unternehmen und Märkte
Für Unternehmen in Deutschland und Europa stellt die Entwicklung eine Herausforderung dar, da viele bestehende Schutzmechanismen auf der Prüfung von Absenderadressen und URL-Reputation basieren. Die gezielte Verschleierung durch kompromittierte Websites und die Fähigkeit, MFA zu umgehen, erhöhen das Risiko erfolgreicher Angriffe. Besonders betroffen sind Organisationen, die auf klassische E-Mail-Gateways und Standard-MFA setzen, ohne zusätzliche Schutzmechanismen zu implementieren. Die Angriffe zeigen, dass auch etablierte Sicherheitsarchitekturen kontinuierlich weiterentwickelt werden müssen, um neuen Bedrohungen standzuhalten.
Die wirtschaftlichen Folgen eines erfolgreichen Angriffs können erheblich sein, da Angreifer nicht nur Zugang zu sensiblen Daten, sondern auch zu authentifizierten Sitzungen erhalten. Dies kann zu finanziellen Verlusten, Reputationsschäden und regulatorischen Konsequenzen führen. Die Entwicklung unterstreicht die Notwendigkeit, Sicherheitsstrategien regelmäßig zu überprüfen und an aktuelle Bedrohungslagen anzupassen.
Ein Adversary-in-the-Middle-(AiTM)-Angriff bezeichnet eine Technik, bei der sich Angreifer zwischen Nutzer und Zielsystem schalten, um Anmeldedaten und Sitzungsinformationen in Echtzeit abzufangen. Im Unterschied zu klassischen Phishing-Methoden können so auch Multi-Faktor-Authentifizierungen kompromittiert werden, da der Angreifer die Authentifizierung unmittelbar weiterleitet und das resultierende Session-Token übernimmt. Diese Methode stellt eine erhebliche Herausforderung für bestehende Sicherheitsarchitekturen dar, da sie sowohl technische als auch organisatorische Schutzmaßnahmen umgehen kann.
