Ein Einblick in eine gefälschte DHL-Kampagne zur Diebstahl von Anmeldedaten

Zusammenfassung

Eine Phishing-Kampagne, die sich als DHL ausgibt, zielt darauf ab, Benutzeranmeldedaten zu stehlen. Die Angriffskette nutzt eine gefälschte Einmalpasswort-Seite und ein Marken-Anmeldeportal, bevor die erfassten Daten über EmailJS exfiltriert werden. Nachdem die Anmeldedaten gestohlen wurden, werden die Opfer zur legitimen DHL-Website weitergeleitet, um Verdacht zu vermeiden. Der Betrieb scheint weltweit auf Verbraucher abzuzielen, während er sich auf relativ leichte Infrastruktur stützt.

Untersuchung

Forcepoint X-Labs untersuchte die Phishing-E-Mail, die bösartigen Links und das JavaScript, das für die Erzeugung eines clientseitigen OTP verantwortlich ist. Ihre Analyse zeigte, dass das Phishing-Kit Geräte- und Geolokalisierungsdetails sammelte, bevor die gesammelten Informationen über EmailJS an ein von Angreifern kontrolliertes Postfach gesendet wurden. Forschern gelang es, den vollständigen Angriffsablauf in einer Sandbox-Umgebung nachzuvollziehen.

Minderung

Organisationen sollten verdächtige Absenderdomains blockieren und auf DKIM-Ausrichtungsfehlanpassungen achten, die auf Spoofing hinweisen können. Sicherheitsteams sollten auch URLs filtern oder blockieren, die zu den identifizierten bösartigen Domains auflösen. Die Überwachung unerwarteter EmailJS-Aktivitäten mit ungewöhnlichen Nutzlasten kann helfen, Versuche des Anmeldedatendiebstahls aufzudecken, während die Durchsetzung von MFA auf DHL-bezogenen Konten eine zusätzliche Schutzschicht bietet.

Reaktion

Verteidiger sollten die betroffenen Benutzer über die Phishing-Kampagne informieren und Passwortänderungen für alle kompromittierten Konten erfordern. Die bösartige E-Mail sollte isoliert und die damit verbundenen Domains auf den E-Mail- und Web-Gateway-Ebenen blockiert werden. Erkennungsregeln sollten ebenfalls aktualisiert werden, um die beobachteten URL-Muster und die auf EmailJS-basierende Exfiltrationsmethode zu identifizieren.

## Simulation Ausführung

Voraussetzung: Die Telemetrie- & Baseline-Vorabflugprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue erwartete Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  Der Gegner, der darauf abzielt, DHL-Anmeldedaten zu ernten, fälscht die cupelva.com -Domain (eine bekannte Imitation) und erstellt eine E-Mail mit der exakten Betreffzeile, die in den letzten Kampagnen verwendet wurde. Durch den Versand dieser E-Mail über einen kompromittierten externen SMTP-Server erreicht die Nachricht die Exchange-Postfächer und erzeugt Transportlogs, die den Kriterien der Regel entsprechen.

• Regressionstest-Skript:

  # Simulierte Phishing-E-Mail – sollte die Erkennungsregel auslösen
  $smtpServer = "smtp.malicious-host.com"   # externer kompromittierter Server
  $msg = @{
      From = "dhl@cupelva.com"
      To   = "victim@contoso.com"
      Subject = "DHL EXPRESS WAYBILL CONFIRMATION REQUIRED"
      Body = @"
  Dear Customer,

Ein Frachtbrief für Ihre kürzliche Sendung erfordert eine Bestätigung. Bitte klicken Sie auf den untenstehenden Link, um Ihre Daten zu überprüfen:

https://malicious.example.com/verify

Mit freundlichen Grüßen, DHL Express „@ SmtpServer = $smtpServer } Send-MailMessage @msg

- **Aufräumbefehle:**  

  powershell
  # Entfernen der Test-E-Mail aus dem Postfach des Opfers (Exchange PowerShell)
  Import-Module ExchangeOnlineManagement
  Connect-ExchangeOnline -UserPrincipalName admin@contoso.com
  Search-Mailbox -Identity "victim@contoso.com" -SearchQuery 'Subject:"DHL EXPRESS WAYBILL CONFIRMATION REQUIRED"' -DeleteContent
  Disconnect-ExchangeOnline -Confirm:$false

## Ausweichbewertung & Härtungsempfehlungen

Empfehlungen

1. Erweiterte Absenderevaluation: Statt einer einzigen festcodierten Domain markieren Sie jede E-Mail, die die SPF/DKIM-Ausrichtung für die „dhl.com“-Marke nicht besteht und DHL-bezogene Schlüsselwörter enthält.
2. Unscharfes Betreff-Matching: Ersetzen Sie die exakte Zeichenfolgensuche durch ein regex, das Variationen, Groß-/Kleinschreibungsunterschiede und häufige Verschleierungen erfasst.
3. Mit URL-Ruf anreichern: Analysieren Sie den Nachrichtentext nach URLs; markieren Sie, wenn ein Link zu einem bekannten bösartigen Host auflöst oder URL-Kürzer verwendet.
4. Heuristik für Anhänge hinzufügen: Wenn die Regel attack.t1192markiert, integrieren Sie Überprüfungen für doppelte Erweiterungsdateien oder Skripte, die häufig bei DHL-bezogenen Phishing verwendet werden.

Die Implementierung dieser Maßnahmen zur Härtung wird die Widerstandsfähigkeitspunkte in Richtung 4–5erhöhen und das Risiko von einfachen Umgehungen verringern, während die Falsch-Positiv-Rate niedrig bleibt.