BlueDelta (APT28) Anmeldeinformations-Phishing über kostenloses Hosting & Ngrok

Zusammenfassung

BlueDelta, eine mit dem GRU verbundene Gruppe, auch bekannt als APT28/Fancy Bear, führte zwischen Februar und September 2025 mehrere Kampagnen zur Abgriff von Zugangsdaten durch. Die Kampagnen nutzten kostenlose Hosting- und Tunneling-Dienste, um gefälschte Outlook-, Google- und Sophos-VPN-Anmeldeseiten zu hosten und abgegriffene Anmeldedaten zu exfiltrieren. Als Köder wurden legitime PDF-Dokumente und regionsspezifische Sprache verwendet, um die Glaubwürdigkeit zu erhöhen. Die Operation zielte auf Energie-, Nuklearforschungs-, Regierungs- und akademische Einrichtungen in der Türkei, Nordmazedonien und Usbekistan ab.

Untersuchung

Die Insikt-Gruppe von Recorded Future sammelte über ein Dutzend Phishing-Seiten, die auf Diensten wie Webhook.site, InfinityFree, Byet Internet Services und ngrok gehostet wurden. JavaScript auf den Seiten erfasste Benutzernamen, Passwörter und Opferkennungen, sendete Beacons an von Angreifern kontrollierte Webhooks und leitete die Opfer dann zu authentischen Portalen weiter. Mehrere Varianten wiederverwendeten Code und änderten Variablennamen, um die Bereitstellung zu optimieren. Die Infrastruktur war kurzlebig und nutzte Link-Shortener wie ShortURL.at.

Abschwächung

Sperren Sie bekannte Domains für kostenloses Hosting und Tunneling, überwachen Sie ausgehenden Traffic zu Webhook-Diensten und erzwingen Sie MFA für alle nach außen gerichteten Konten. Schulen Sie Benutzer über Phishing-Seiten, die OWA, Google und VPN-Portale imitieren, insbesondere wenn PDF-Köder angehängt sind. Implementieren Sie Netzwerkfilterung für bekannte bösartige URLs und wenden Sie E-Mail-Sicherheitskontrollen an, um verdächtige PDF-Links zu erkennen.

Reaktion

Alarmieren Sie SOC-Analysten, wenn HTTP-POSTs zu bekannten Webhook-Endpunkten beobachtet werden und wenn Seiten zum Abgriff von Zugangsdaten geladen werden. Quarantäne der bösartigen Seite, isolieren Sie betroffene Benutzerkonten, erzwingen Sie Passwort-Resets und überprüfen Sie Protokolle auf laterale Bewegungen. Führen Sie eine Bedrohungssuche nach anderen Seiten unter Verwendung derselben Infrastruktur durch und aktualisieren Sie blockierte Listen entsprechend.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden sein.

Begründung: In diesem Abschnitt werden die genaue Ausführung der gegnerischen Technik (TTP) beschrieben, um die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:

  1. Erste Phishing-Lieferung: Ein Angreifer sendet eine Phishing-E-Mail mit einem kurzen URL, die auf das bösartige webhook.site Seite weiterleitet.
  2. Opferinteraktion: Das Opfer klickt auf den Link; der Browser folgt der Weiterleitung und sendet eine HTTP GET Anfrage an https://webhook.site/e8ae3bbd-ab02-46b7-b84c-f5f4baa5d7c7.
  3. Zugangsdaten-Abgriff-Seite: Die Seite hostet JavaScript, das eingegebene Zugangsdaten stiehlt und sie zurück an dieselbe Webhook-URL postet, aber der Proxy protokolliert nur die anfängliche GET-Anfrage, was ausreicht, um die Regel auszulösen.
  4. Für den Test, wir emulieren das Opfer, indem wir PowerShell’s Invoke-WebRequest verwenden, um die genaue bösartige URL anzufordern und dasselbe Protokolleintrag im Proxy zu reproduzieren.

• Regressionstest-Skript:

  # -------------------------------------------------
  # BlueDelta Webhook Site-Zugriffssimulation (TC-20260109-9X3BZ)
  # -------------------------------------------------
  $maliciousUrls = @(
      "https://webhook.site/e8ae3bbd-ab02-46b7-b84c-f5f4baa5d7c7",
      "https://webhook.site/3791f8c0-1308-4c5b-9c82-0dc416aeb9c4"
  )
  
  foreach ($url in $maliciousUrls) {
      try {
          Write-Host "Anforderung an bösartige URL: $url"
          Invoke-WebRequest -Uri $url -UseBasicParsing -Method GET -TimeoutSec 10 | Out-Null
          Write-Host "✅ Anfrage gesendet."
      } catch {
          Write-Warning "Anforderung an $url fehlgeschlagen: $_"
      }
  }

• Befehle zur Bereinigung:

  # Proxy-Cache leeren (falls zutreffend), um Resteinträge zu vermeiden
  net stop "Squid Service"
  net start "Squid Service"
  
  # Alle temporären Dateien entfernen, die durch das Skript erstellt wurden (keine in diesem Fall)
  Write-Host "Bereinigung abgeschlossen."