Viele Menschen denken bei Phishing an eine schädliche E-Mail mit einem verdächtigen Link oder Anhang. Doch Angreifer beschränken sich immer seltener nur auf den Posteingang. Stattdessen missbrauchen sie zunehmend auch vertrauenswürdige Geschäftsanwendungen wie Kalender und Besprechungseinladungen. Modernes Kalender-Phishing funktioniert, weil Beschäftigte ihre Kalender immer häufiger auch für geschäftliche Abläufe nutzen, zum Beispiel Deadlines, Schulungen und Unternehmensmitteilungen. Da Kalendereinträge also längst nicht mehr nur für Besprechungen verwendet werden, wirkt auch ein Eintrag ohne eigentlichen Besprechungstermin normal und unverdächtig. Sicherheitsforscher von Barracuda Networks erklären, wie modernes Kalender-Phishing funktioniert und worauf Sicherheitsteams bei dieser wachsenden Angriffsmethode achten müssen.
Eine typische Calendar Phishing-Kampagne beginnt mit einer einfachen E-Mail, die eine Kalendereinladung als .ics-Datei enthält. Das iCalendar-Format (.ics) wurde entwickelt, damit sich Termininformationen zwischen Outlook, Google Kalender, Apple Kalender und anderen Plattformen synchronisieren lassen. Um diese Interoperabilität zu ermöglichen, können Kalenderdateien zahlreiche Informationen enthalten, darunter URLs, benutzerdefinierte Metadatenfelder und Anhänge. Das bietet Angreifern zahlreiche Möglichkeiten, die sie missbrauchen können. Sie können beispielsweise Phishing-Inhalte in Terminbeschreibungen platzieren, Links in Ortsfeldern einbetten, schädliche Anhänge hinzufügen oder HTML-formatierte Inhalten nutzen, um überzeugende Mitteilungen zu erstellen, die wie interne Kommunikation wirken. Da sich diese Inhalte in den Metadaten des Kalendereintrags und nicht im Text der E-Mail befinden, prüfen Sicherheitsmechanismen sie möglicherweise weniger gründlich.
Die Phishing-E-Mail selbst enthält oft kaum mehr als eine Betreffzeile, die auf einen routinemäßigen Geschäftsprozess verweist. Öffnet der Empfänger die Termineinladung, zeigt der Kalender direkt in den Termin eingebettete Inhalte an, etwa Bilder oder QR-Codes. Diese Inhalte wirken zunächst legitim, führen Betroffene jedoch auf eine gefälschte Anmeldeseite, die von den Angreifern kontrolliert wird. Dieser Prozess läuft häufig über eine Adversary-in-the-Middle-(AiTM)-Phishing-Plattform. Wenn der Nutzer seine Zugangsdaten eingibt und die Multi-Faktor-Authentifizierung (MFA) abschließt, können die Angreifer den Benutzernamen, das Passwort und die Authentifizierungsdaten der Sitzung abgreifen und damit auf das Konto zugreifen.
Worauf Sicherheitsteams achten sollten
Wirksame E-Mail-Sicherheit erfordert Transparenz über die gesamte Angriffskette hinweg und darf sich nicht nur auf den Zeitpunkt der E-Mail-Zustellung beschränken. Unternehmen sollten Kalendereinladungen daher als aktive Inhalte behandeln und .ics-Dateien genauso sorgfältig prüfen wie herkömmliche Anhänge. Zu den empfohlenen Maßnahmen gehören die Implementierung von Phishing-resistenten MFA-Verfahren wie FIDO2 oder WebAuthn, die Einführung von Richtlinien für bedingten Zugriff, die Überwachung von Sitzungen und Funktionen zur schnellen Aufhebung von Sitzungen. Ebenso wichtig sind Maßnahmen, die verdächtiges Anmeldeverhalten und den Missbrauch von Tokens erkennen. Und natürlich aufklärende Maßnahmen für die Endanwender.
Zum Beitrag im Blog von Barracuda Networks (Englisch)