Rockstar 2FA PhaaS Toolkit

Cybersicherheitsexperten haben Bedenken hinsichtlich einer wachsenden Gefahr geäußert: bedrohliche E-Mail-Kampagnen, die ein Phishing-as-a-Service (PhaaS)-Toolkit namens Rockstar 2FA verwenden. Dieses Toolkit, das zum Sammeln von Microsoft 365-Kontoanmeldeinformationen entwickelt wurde, stellt einen fortschrittlichen Ansatz für Phishing-Angriffe dar.

Durch den Einsatz von Adversary-in-The-Middle (AiTM)-Techniken ermöglicht Rockstar 2FA Angreifern, Benutzeranmeldeinformationen und Sitzungscookies abzufangen. Beunruhigenderweise sind sogar mit Multi-Factor Authentication (MFA) geschützte Konten für diese Angriffe anfällig, was die zunehmende Raffinesse der Operationen von Cyberkriminellen zeigt.

Entwicklung von DadSec zu Rockstar 2FA

Rockstar 2FA scheint eine verbesserte Version des DadSec-Phishing-Kits zu sein, das auch als Phoenix bekannt ist. Microsoft verfolgt seine Entwickler und Distributoren unter dem Codenamen Storm-1575 aktiv.

Getreu seinem PhaaS-Modell wird Rockstar 2FA auf Plattformen wie ICQ, Telegram und Mail.ru vermarktet. Gegen eine Abonnementgebühr von 200 US-Dollar für zwei Wochen oder 350 US-Dollar für einen Monat können selbst unerfahrene Cyberkriminelle mit minimalem technischen Wissen groß angelegte Phishing-Kampagnen starten.

Wichtige Funktionen stärken Cyberkriminelle

Die Entwickler von Rockstar 2FA werben mit zahlreichen Funktionen, die die Wirksamkeit von Phishing-Kampagnen verbessern sollen. Dazu gehören:

• 2FA-Bypass: Tools zum Umgehen der Abwehrmaßnahmen der Multi-Faktor-Authentifizierung.
• Session Hijacking : Sammeln von Cookies, um unbefugten Zugriff zu erlangen.
• Antibot-Schutz: Mechanismen zum Blockieren automatisierter Sicherheitsscans.
• Anpassbare Anmeldeseiten: Designs, die vertrauenswürdige Marken und Dienste imitieren.
• Telegram-Integration: Benachrichtigungen und Updates über Telegram-Bots.

Darüber hinaus können Benutzer über das „moderne, benutzerfreundliche Admin-Panel“ ihre Kampagnen effizient verwalten, von der Generierung von Phishing-Links bis zur Personalisierung von Vorlagen für mehr Authentizität.

Vertrauen durch vertraute Tools ausnutzen

Eine der herausragenden Taktiken der Rockstar 2FA-Kampagnen ist die strategische Nutzung vertrauenswürdiger Plattformen wie Atlassian Confluence, Google Docs Viewer, Microsoft OneDrive, OneNote und Dynamics 365 Customer Voice zum Hosten von Phishing-Links. Durch die Einbettung bösartiger URLs in diese seriösen Dienste nutzen Angreifer das Vertrauen der Benutzer in sie aus und erhöhen so die Wahrscheinlichkeit eines erfolgreichen Angriffs.

Ausgefeilte Taktiken, um der Entdeckung zu entgehen

Rockstar 2FA-Kampagnen verwenden verschiedene Methoden, um Phishing-Köder zu verteilen. Dazu gehören:

• Eingebettete URLs: In E-Mails eingebettete Links, die legitim erscheinen.
• QR-Codes: Eine moderne Variante des Phishings, die die herkömmliche Linkanalyse umgeht.
• Dokumentanhänge: Dateien, die den Benutzer zum Klicken verleiten sollen.

Um einer Erkennung noch besser zu entgehen, enthält das Toolkit Techniken wie Antibot-Prüfungen mit Cloudflare Turnstile und legitime Weiterleitungen wie URL-Verkürzer und URL-Umschreibdienste. Diese Maßnahmen helfen den Phishing-Seiten, Antispam-Filter und automatisierte Bedrohungsanalyse-Tools zu umgehen.

Marken präzise nachahmen

Die Phishing-Seiten von Rockstar 2FA sind sorgfältig darauf ausgelegt, die Anmeldeseiten beliebter Dienste zu imitieren. Trotz der Verschleierung des HTML-Codes behalten diese Seiten ein hohes Maß an Authentizität. Sobald ein Benutzer seine Anmeldeinformationen eingibt, werden die Daten in Echtzeit an einen AiTM-Server übertragen. Die gesammelten Anmeldeinformationen werden dann verwendet, um Sitzungscookies zu extrahieren, wodurch Angreifer Zugriff auf das Konto des Opfers erhalten, ohne zusätzliche Authentifizierungsaufforderungen auszulösen.

Ein Aufruf zur Wachsamkeit

Das Aufkommen von Rockstar 2FA unterstreicht die Notwendigkeit für Organisationen und Einzelpersonen, wachsam zu bleiben. Fortgeschrittene Phishing-Taktiken wie AiTM-Angriffe können herkömmliche Sicherheitsmaßnahmen umgehen, weshalb ein mehrschichtiger Ansatz zum Schutz von Konten unerlässlich ist. Regelmäßige Benutzerschulungen und fortschrittliche Erkennungstools spielen eine entscheidende Rolle bei der Eindämmung solcher Bedrohungen.