Phishing-Attacke über LinkedIn

In einer Attacke werden über vertrauenswürdige LinkedIn-Konten Phishing-Kampagnen gestartet. Dabei werden aus gekaperten Konten über Mail oder private Nachrichten Phishing-Links an Mitglieder des Business-Netzwerkes aber auch an externe verschickt, wie das Sicherheitsunternehmen Malwarebytes jetzt in einem Blog mitteilt.

Was diese Kampagne laut Malwarebytes von anderen unterscheidet, ist der Umstand, dass auch langjährige und vertrauenswürdiger Konten gehackt wurden. Auch Premium-Accounts sollen dazugehören.

Über das Netzwerk können Mitglieder andere LinkedIn-Benutzer, auch wenn diese keinen direkten Kontakt haben, über die Funktion InMail kontaktieren.

Die bösartige Nachricht enthält einen Verweis auf ein freigegebenes Dokument sowie einen Kurz-Link, der auf eine Phishing-Site für Google Mail und andere E-Mail-Provider verweist. Die Opfer sollen sich dort anmelden.

Die Getäuschten, die Benutzernamen für Gmail, Yahoo und AOL, Passwörter und Telefonnummer weitergeben haben, sehen nicht sofort, dass sie Opfer einer Phishing-Attacke geworden sind. Anschließend wird den Opfern ein weiteres Dokument zugestellt, das scheinbar von der Vermögensverwaltung Wells Fargo stammt und das auf Google Docs gehostet wird.

Potentielle Opfer, die über InMail kontaktiert werden, werden ebenfalls auf das Dokument geleitet. InMail ist eigentlich eine vertrauenswürdige Kommunikationsform, die LinkedIn lediglich zahlenden Kunden anbietet.

Anwender können nur eine gewisse Anzahl von Nachrichten kostenpflichtig verschicken. Daher war dieser Kanal für Hacker eher uninteressant, weil dadurch Kosten entstehen. Im aktuellen Fall aber bezahlen die Hacker nicht selbst, sondern sie verwenden die Credits der kompromittierten Konten.

Von LinkedIn heißt es, dass zwar die Übertragung der Mails sicher ist, dass aber dennoch die Inhalte der Nachrichten unsicher sein können. In dieser Attacke werden die Nachrichten zudem mit einem “Security Footer” verschickt, der eigentlich Phishing-Mails verhindern soll, indem Position oder Arbeitgeber in dem Footer eingeblendet werden. Anwender können diese Informationen aber auch verändern.

In beiden Fällen bekommen die potentiellen Opfer jedoch diese Nachricht zu lesen:

“I have just shared a document with you using GoogleDoc Drive,

View shared document http://ow.ly/[…]”

Der Klick auf den Link öffnet folgende Seiten und Dokumente:

ow[.]ly/qmxf30eWLyN
dgocs[.]gdk.mx/new/index.php
dgocs[.]gdk.mx/new/index.php?i=1
cakrabuanacsbali[.]com/wp-rxz/index.php

Wie viele Accounts gehackt wurden oder ob stets neue URL-Abkürzungen verwendet werden, sei bislang nicht bekannt, heißt es von Malwarebytes. Daher lasse sich auch der Umfang der Kampagne derzeit schlecht bemessen.

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.