Kommentar-Phishing-Exploit von Google Docs

Eine Welle von Phishing-Angriffen hat Googles cloudbasierte Textverarbeitungslösung (Google Docs) und deren Kommentarfunktion ausgenutzt. Angreifer verwenden diese Funktion, um schädliche Links an beliebige E-Mail-Postfächer zu versenden. Besonders tückisch ist, dass die Kommentare scheinbar von jeder beliebigen Person stammen. Das heißt, ein Hacker kann Ihnen einen schädlichen Link von Ihrem besten Freund in den sozialen Medien schicken, und nichts hindert ihn daran, diese E-Mail – angeblich von Ihrem besten Freund – in Ihrem Posteingang zu landen. Laut Online-Berichten haben Hacker durch die Ausnutzung dieser Google-Docs-Funktion bereits Tausende von Postfächern erreicht . Für Hacker ist dies eine wahre Goldgrube.

Wie funktioniert er?

Hacker zielen auf Google Docs-Nutzer ab, indem sie einen Kommentar in einem Dokument hinzufügen, der den Zielnutzer mit einem „@“ erwähnt. Dadurch wird automatisch eine E-Mail an dessen Posteingang gesendet. Diese E-Mail, die von Google stammt, enthält neben Text auch potenziell schädliche Links. Das Gefährliche an diesem Angriff ist, dass Google und Outlook normalerweise schädliche Links in eingehenden E-Mails herausfiltern. Bei diesen Angriffen über Kommentare umgehen die Phishing-E-Mails jedoch die Sicherheitsvorkehrungen, da sie von einer vertrauenswürdigen Quelle – Google – stammen.

Anmerkung am Rande: Sicherheitsforscher berichteten vom gleichen Ergebnis, als sie versuchten, Google Slides, die Präsentations-App der Suite, auszunutzen.

Die E-Mails

Wie die untenstehende Test-E-Mail von CyberHoot zeigt, ist es schwierig, beim Empfang solcher Schad-E-Mails die übliche Phishing-Checkliste abzuarbeiten . Die Absenderadresse wird nicht angezeigt, sondern nur der Name des Angreifers. Dadurch können sich Kriminelle als legitime Stellen ausgeben und gezielt Opfer angreifen. Beispielsweise kann ein Hacker ein kostenloses Gmail-Konto wie Johnny.Hacker@gmail.com erstellen . Anschließend kann er ein eigenes Google Doc anlegen, Kommentare hinzufügen und beliebige Nachrichten an sein Ziel senden.

Die böswillige Absicht des Kommentars ist schwer zu erkennen, da der Empfänger keine Ahnung hat, ob der Kommentar von Johnny.Hacker@gmail.com oder Johnny.Hacker@company.com stammt . Die E-Mail enthält lediglich den Hinweis, dass „Johnny Hacker“ Sie in einem Kommentar im folgenden Dokument erwähnt hat. Handelt es sich bei „Johnny Hacker“ um einen Kollegen, wirkt die E-Mail legitim. Sie enthält den vollständigen Kommentar sowie Links und Text, sodass das Opfer das Dokument nicht öffnen muss – die Schadsoftware ist bereits in der E-Mail enthalten.

Dazu müssen die Angreifer lediglich eine gefälschte Google-Anmeldeseite einrichten. Wenn der Endbenutzer auf den Link klickt, wird er aufgefordert, seine Anmeldeinformationen auf der Anmeldeinformationssammelseite von „Google“ einzugeben und alles an die Hacker zu senden. 

Was ist zu tun? 

CyberHoot empfiehlt Nutzern, vor dem Anklicken eines Google Docs-Kommentars stets die E-Mail-Adresse im Kommentar zu überprüfen, um sicherzustellen, dass diese echt ist. Nutzer können das Google-Dokument öffnen und mit der Maus über den Namen des Kommentators fahren, um die vollständige E-Mail-Adresse und den vollständigen Namen anzuzeigen. 

CyberHoot empfiehlt Endbenutzern außerdem, beim Umgang mit potenziellen Phishing-E-Mails stets die bewährten Vorgehensweisen zu befolgen, beispielsweise auf Folgendes zu achten: 

• Schlechte Rechtschreibung oder Grammatik 
• Unerwartete E-Mails
• Generisch adressierte E-Mails
• Verlockende E-Mail-Anhänge 
• Ihrerseits sind dringende Maßnahmen erforderlich
• Enthält seltsam aussehende Links

Zusätzliche Empfehlungen zur Cybersicherheit

Darüber hinaus helfen Ihnen die folgenden Empfehlungen, sich und Ihr Unternehmen vor den vielfältigen Bedrohungen des täglichen Lebens zu schützen. Alle unten aufgeführten Vorschläge erhalten Sie durch die Inanspruchnahme der vCISO-Programmentwicklungsdienste von CyberHoot.

1. Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
2. Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
3. Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
4. Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups, implementieren Sie DNS-Schutz, Antivirusund Anti-Malware auf allen Ihren Endpunkten.
5. Stellen Sie im modernen Homeoffice-Zeitalter sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz usw.) validieren oder ihre Verwendung vollständig verbieten.
6. Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
7. Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.

Alle diese Empfehlungen sind in CyberHoot (Produkt oder vCISO-Services) integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, beurteilen und testen. Besuchen Sie CyberHoot.com und registrieren Sie sich noch heute für unsere Services. Bleiben Sie außerdem mit unseren monatlichen Cybersicherheits-Newslettern stets auf dem Laufenden.

Um mehr über Phishing-E-Mails und worauf Sie achten müssen zu erfahren, sehen Sie sich dieses kurze 5-minütige Video an:

Quellen:

Threatpost

SicherheitBoulevard

Weitere Leseempfehlungen: 

Forscher entdecken Schwachstelle bei Google Docs-Kommentaren

Hacker nutzen Schwachstellen in der Kommentarfunktion von Google Docs aus

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden