Sicherheitsforscher von Cofense haben mehrere Phishing-E-Mails entdeckt, die sich als die US-Sozialversicherungsbehörde ausgeben. Das Ziel war es, den ConnectWise Remote Access Trojaner zu installieren. Die E-Mail-Häufigkeit nahm in den Tagen vor den US-Präsidentschaftswahlen 2024 zu.

Cyberkriminelle geben sich als die US-Sozialversicherungsbehörde aus, um einen Remote Access Trojaner (RAT) Malware auf den Geräten der Menschen zu installieren, haben Experten gewarnt. Die Cybersicherheitsforscher von Cofense beobachteten eine Phishing-Kampagne, die langsam Fahrt aufnahm in den Tagen und Wochen vor den US-Präsidentschaftswahlen 2024. Das Ziel der Kampagne war es, den ConnectWise RAT zu verteilen, eine manipulierte und bösartige Nutzung der ansonsten legitimen Software namens ConnectWise Control (ehemals ScreenConnect).

Eine eingehende Analyse von Cofense ergab, dass die Kriminellen in mehreren Varianten derselben Phishing-Kampagne beobachtet wurden, bei der sie die Sozialversicherungsbehörde vortäuschten und angaben, einen aktualisierten Leistungsbescheid bereitzustellen. Meistens kam die gefälschte Erklärung in Form eines nicht übereinstimmenden Links (eines Links, der nicht dorthin führt, wohin er führen soll). Manchmal versuchten die Bedrohungsakteure, den Link hinter einem „Leistungsbescheid anzeigen“ -Button zu verstecken. Die Kampagne begann höchstwahrscheinlich im oder um den September 2024, als sie erstmals von Cofense beobachtet wurde. Die zweite Stichprobe kam einen Monat später, wonach die Häufigkeit allmählich zunahm, bis Mitte November. „Obwohl weitere E-Mails Ende November gesehen wurden, erreichte diese Kampagne am 11. und 12. November ihren Höhepunkt, eine Woche nach dem Wahltag“, folgerte Cofense.

ConnectWise Control ist ein legitimes Remote-Desktop- und Support-Tool, wird aber in diesem Szenario verwendet, um unbefugten Zugriff auf die Geräte der Opfer zu erlangen. Cyberkriminelle nutzen die legitimen Funktionen der Software, um sie heimlich einzusetzen, oft in Verbindung mit Malware oder Phishing-Schemata. Einmal installiert, ermöglicht der RAT Bedrohungsakteuren, Systeme aus der Ferne zu kontrollieren, sensible Daten zu stehlen, zusätzliche Malware zu installieren und die Computeraktivitäten des Opfers zu überwachen. Legitime Software wird oft für bösartige Zwecke eingesetzt, da Endpunktsicherheits- und Malware-Entfernungsprogramme sie oft nicht als Bedrohung erkennen.