Unternehmen, die Benutzerkonten durch Zwei-Faktor-Authentifizierung (2FA) schützen, sollten zusätzlich Maßnahmen zur Abwehr von Echtzeit-Phishing-Proxys ergreifen. Diese ermöglichen es Kriminellen, die Multi-Faktor-Authentifizierung (MFA) zu umgehen und Konten zu übernehmen. Kunden von F5 BIG-IP Access Policy Manager (APM) können glücklicherweise ganz einfach F5 Distributed Cloud Bot Defense hinzufügen, um diese Proxys wirksam auszuschalten.
“Durch die Implementierung von Distributed Cloud Bot Defense können sich Benutzer vor Echtzeit-Phishing-Proxy-Angriffen schützen, die automatisierte Verfahren einsetzen, um MFA-Schutzmaßnahmen zu umgehen.”
Was sind Echtzeit-Phishing-Proxys?
Ein Echtzeit-Phishing-Proxy-Angriff beginnt mit einer Phishing-Nachricht, die per SMS, E-Mail oder über eine Webseite übermittelt wird. Die Phishing-Nachricht enthält einen Link, der den Benutzer zu einer vom Angreifer kontrollierten Domain führt. Diese ist so konzipiert, dass sämtliche Anfragen über sie an die Zielanwendung weitergeleitet werden. Aus Sicht des Benutzers wirkt alles legitim – mit Ausnahme des Domainnamens, der in der Regel so gewählt wird, dass er dem echten möglichst ähnlich sieht.
Vom Phishing-Proxy getäuscht, gibt der Benutzer seine Anmeldedaten ein. Bei einer Ein-Faktor-Authentifizierung reicht die Eingabe dieser Anmeldedaten aus, damit der Angreifer Zugriff auf das Konto erhält. Bei einer Zwei-Faktor-Authentifizierung (2FA) sendet der Echtzeit-Phishing-Proxy die Anmeldedaten an die legitime Anwendung und löst dadurch die 2FA-Anfrage aus. Da der Benutzer weiterhin glaubt, mit der legitimen Anwendung zu interagieren, wird er der 2FA-Anfrage leider wahrscheinlich folgen und die jeweilige Aufforderung bestätigen.
Reverse-Phishing-Proxys können nahezu alle Formen der Zwei-Faktor-Authentifizierung (2FA) kompromittieren:
- Auf Kurznachrichtendiensten (SMS) basierende 2FA. Bei der SMS-basierten 2FA sendet das Authentifizierungssystem dem Benutzer eine Textnachricht mit einem Einmalpasswort (OTP), das dieser in die App eingibt. Bei einem Phishing-Proxy-Angriff gibt der Benutzer das Einmalpasswort direkt in die schädliche App ein, die es anschließend an die legitime App weiterleitet und dem Angreifer so Zugriff gewährt. Dasselbe Prinzip gilt für die 2FA, wenn das Einmalpasswort per E-Mail gesendet wird. Wenn der Mechanismus vorsieht, dass der Benutzer das Einmalpasswort in eine App eingibt, kann ein Phishing-Proxy-Angriff in Echtzeit darauf zugreifen.
- 2FA mit Hardware-Token. Hardware-Token sind physische Geräte, die nach einem kryptografischen Algorithmus in festen Zeitabständen Schlüssel generieren und denselben Zweck erfüllen wie OTPs bei der SMS-basierten 2FA. Der Benutzer liest den Schlüssel vom Gerät ab und gibt ihn in die Anwendung ein. Wird er durch einen Echtzeit-Phishing-Proxy dazu verleitet, diesen Schlüssel in eine bösartige Anwendung einzugeben, erhält der Angreifer Zugriff auf das Konto. Für den Echtzeit-Phishing-Proxy spielt es gewissermaßen keine Rolle, ob das Token per SMS, E-Mail oder über ein Hardwaregerät bereitgestellt wird. (FIDO2/U2F-Hardwareschlüssel sind dagegen nicht durch Phishing angreifbar, da der Browser beim Binden an die Ursprungsdomain mit dem Hardwareschlüssel zusammenarbeitet.)
- App-basierte 2FA. Mobile Authenticator-Apps wie Google Authenticator und Duo Mobile generieren Tokens auf ähnliche Weise wie Hardwaregeräte. Auch hier wird von den Nutzern erwartet, dass sie das Token in die App eingeben. Wird ein Nutzer dazu verleitet, das Token in eine bösartige App einzugeben, erhält der Angreifer Zugriff auf die echte Anwendung.
- Push-basierte 2FA. Natürlich lässt sich jeder 2FA-Mechanismus, bei dem der Benutzer ein Einmalpasswort (OTP) in eine Anwendung eingeben muss, aushebeln, indem man ihn dazu verleitet, das OTP in eine bösartige Anwendung einzugeben. Doch wie sieht es mit Push-basierter 2FA aus, bei der der Benutzer kein OTP in eine Anwendung eingeben muss? Bei einem Push-basierten System löst die Anwendung nach Eingang einer Anmeldeanfrage stattdessen eine Anfrage an ein Push-Benachrichtigungssystem aus, woraufhin der Benutzer eine Benachrichtigung auf seinem Mobilgerät erhält. Er muss nur einmal klicken, um die Anfrage zu bestätigen. Anschließend sendet das Push-Benachrichtigungssystem über eine API einen Aufruf an die Anwendung zurück, der bestätigt, dass die Push-Authentifizierung erfolgreich war. Daraufhin schließt die Anwendung den Authentifizierungsvorgang ab und gewährt dem Benutzer Zugriff. In diesem Szenario erhält der Phishing-Proxy das Token nie, da es direkt an die Anwendung übermittelt wird. Dennoch erhält der Kriminelle Zugriff auf das Konto, weil die Anwendung das authentifizierte Sitzungstoken letztlich über den Proxy an die Anwendung übermittelt. Dadurch kann der Angreifer es abfangen und verwenden, um unter der Identität des Opfers auf die Anwendung zuzugreifen.
Echtzeit-Phishing-Proxys als Dienstleistung
Wir müssen mit einer Zunahme von Echtzeit-Phishing-Proxy-Angriffen rechnen, da Phishing-Proxys als Dienstleistung (PhaaS) – wie EvilGinx, Muraena und Modlishka – es Kriminellen bemerkenswert einfach machen, indem sie ihnen alles bereitstellen, was sie für die Durchführung dieser Angriffe benötigen:
- Phishing-E-Mail-Vorlagen, die Nutzer dazu verleiten, schädliche Websites zu besuchen
- Gehostete Webserver, die Zielanwendungen imitieren
- Datenbanken zur Speicherung gestohlener Zugangsdaten
- Echtzeitüberwachung
- Abwehrmechanismen, um Sicherheitsforscher zu behindern
- Dokumentation und Kundenservice
Wie Distributed Cloud Bot Defense Echtzeit-Phishing-Proxys abwehrt
Datenverkehr, der über einen Phishing-Proxy geleitet wird, weist charakteristische Merkmale auf: Der Domainname stimmt nicht mit dem der echten Website überein, HTML und JavaScript können an die Änderung des Domainnamens angepasst worden sein, und auch das Timing sowie die TLS-Signaturen können verändert sein. Mithilfe vieler derselben clientseitigen und netzwerkbezogenen Signale, die zur Unterscheidung von Bots und Menschen verwendet werden, kann Distributed Cloud Bot Defense die für Echtzeit-Phishing-Proxys typischen Anomalien erkennen und damit eine der häufigsten Bedrohungen für MFA abwehren.
Warum Unternehmen BIG-IP APM und Distributed Cloud Bot Defense kombinieren sollten, um sich vor Echtzeit-Phishing zu schützen
BIG-IP APM ist eine flexible, leistungsstarke Zugriffsverwaltungslösung für Anwendungen und APIs. Sie stellt Anwendungen Authentifizierungsdienste bereit, indem sie Identitätsdienste von Unternehmen verbindet, wie etwa Active Directory, LDAP-Anbieter und RADIUS, mit modernen Authentifizierungsprotokollen wie SSO, Zugriffsföderation, OAuth 2.0, SAML und OIDC.
BIG-IP APM unterstützt Step-up-Authentifizierung, wobei eine SMS-basierte Zwei-Faktor-Authentifizierung (2FA) mit Einmalpasswort (OTP) standardmäßig enthalten ist. Darüber hinaus lässt sich BIG-IP APM in die meisten führenden MFA-Lösungen integrieren, darunter Lösungen von Cisco Duo, Okta, Azure AD und anderen.
Aufgrund der zentralen Rolle, die BIG-IP APM im Authentifizierungsprozess vieler Unternehmen spielt, ist es der ideale Ort für die Implementierung von Distributed Cloud Bot Defense, um Benutzer vor Echtzeit-Phishing-Proxy-Angriffen zu schützen, bei denen automatisierte Verfahren eingesetzt werden, um MFA-Schutzmaßnahmen zu umgehen.
Nächste Schritte
Weitere technische Details finden Sie im F5 DevCentral-Artikel zur Konfiguration von Distributed Cloud Bot Defense in BIG-IP APM
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...