Hacker zielen auf Mitarbeiter von Blackstone, Apollo und KKR in einer Kampagne zum Diebstahl von Zugangsdaten ab
Wichtige Erkenntnisse
- •Die Angreifer gaben sich als Personal des internen IT-Helpdesks aus und nutzten getäuschte Firmenrufnummern, um Mitarbeiter von Private-Equity- und Finanzunternehmen zur Preisgabe ihrer Zugangsdaten zu verleiten.
- •Google berichtete, dass die Bedrohungsakteure innerhalb von fünf Wochen maßgeschneiderte Phishing-Websites für über 200 Organisationen erstellten.
- •Zu den ins Visier genommenen Unternehmen gehörten Blackstone, Apollo Global Management, KKR, Bain Capital, TPG, CME Group, Moody's, Clearlake Capital und Bridgewater Associates.
- •Die Kampagne nutzte einen hybriden Vishing-Ansatz, der irreführende Telefonanrufe mit realistischen Phishing-Portal kombinierte, um die Mehrfaktorauthentifizierung zu umgehen.
- •Es bleibt unklar, welche Unternehmen konkret erfolgreich kompromittiert wurden, obwohl einige Organisationen Berichten zufolge Lösegeld zahlten.
Eine hoch entwickelte Cyberkriminalitätskampagne hat Mitarbeiter mehrerer großer US-amerikanischer Private-Equity-Gesellschaften ins Visier genommen, darunter Blackstone, Apollo Global Management und KKR. Dabei wurden irreführende Telefonanrufe eingesetzt, um Zugangsdaten der Mitarbeiter zu stehlen und die Mehrfaktorauthentifizierung zu umgehen.
Laut Google verließen sich die Angreifer auf Social Engineering statt auf fortgeschrittene Malware. Sie gaben sich als Mitarbeiter des internen IT-Helpdesks aus und riefen Mitarbeiter häufig auf ihren privaten Mobiltelefonen an, wobei sie legitime Firmenrufnummern vortäuschten. Die Anrufer behaupteten, es bestehe ein dringender Bedarf, Sicherheitseinstellungen, Passkeys oder die Mehrfaktorauthentifizierung zu aktualisieren.
Funktionsweise des Angriffs
Die Kampagne kombinierte überzeugende Telefonanrufe mit unternehmensspezifischen Phishing-Websites, die legitimen IT-Support-Portale täuschend ähnlich sahen. Die Opfer wurden angewiesen, sich einzuloggen oder einmalige Authentifizierungscodes einzugeben, wodurch die Angreifer Passwörter und Sitzungsdaten in Echtzeit erfassen konnten. Dieser Ansatz – manchmal als hybrides Vishing bezeichnet – spiegelt einen breiteren Wandel wider, bei dem Angreifer angesichts der flächendeckenden Einführung der Mehrfaktorauthentifizierung zunehmend die menschliche Ebene ins Visier nehmen, anstatt technischen Schutzmaßnahmen direkt zu überwinden.
Google berichtete, dass die Hacker innerhalb von fünf Wochen eine maßgeschneiderte Phishing-Infrastruktur für mehr als 200 Organisationen aufbauten. Neben Blackstone, Apollo und KKR gehörten weitere identifizierte Ziele dazu, darunter Bain Capital, TPG, CME Group, Moody's, Clearlake Capital, Bridgewater Associates sowie mehrere Anwaltskanzleien und Unternehmen.
Wachsender Fokus auf Finanzunternehmen
Cybersecurity-Forscher gehen davon aus, dass die Angreifer ihre Aktivitäten zunehmend auf Private-Equity-Gesellschaften, Finanzinstitute und Unternehmen im Bereich professioneller Dienstleistungen ausgerichtet haben, angezogen von den hochsensiblen Finanzinformationen und den privilegierten Zugriffsrechten dieser Organisationen. Private-Equity-Gesellschaften verwalten insbesondere vertrauliche Transaktionsdaten, Informationen zu Limited Partnern und Portfolio-Unternehmensstrategien – Material, das bei einem Diebstahl für Insiderhandel, Erpressung oder Wettbewerbsaufklärung wertvoll sein könnte.
Google identifizierte die Bedrohungsakteure unter mehreren Aliasnamen, darunter Redact, Pink, Falcon und Helix. Während einige Organisationen Berichten zufolge Lösegeld zahlten, bleibt unklar, welche Unternehmen – wenn überhaupt – erfolgreich kompromittiert wurden. Die ins Visier genommenen Unternehmen haben sich weitgehend geweigert, öffentlich Stellung zu beziehen.
Die Kampagne unterstreicht, dass menschenbezogene Angriffe weiterhin zu den wirksamsten Techniken gehören, die Cyberkriminellen zur Verfügung stehen. Anstatt Software-Schwachstellen auszunutzen, manipulierten die Angreifer Mitarbeiter dazu, ihre Zugangsdaten freiwillig preiszugeben – dies verdeutlicht, wie wichtig es ist, unerwartete IT-Anfragen über offizielle interne Kanäle zu verifizieren und niemals Passwörter oder Authentifizierungscodes am Telefon mitzuteilen.
