Evilginx: die neue Generation des Phishings — (zu) wirksam und gefürchtet
2023 gab fast jedes zweite französische Unternehmen (49 %) an, in den letzten 12 Monaten mindestens einen „erfolgreichen“ Cyberangriff erlitten zu haben — ein Wert, der gegenüber 2022 (45 %) gestiegen ist. Für 60 % von ihnen war dieser Angriff Phishing — die von Cyberangreifern am häufigsten genutzte Technik —, sei es Spear-Phishing, Smishing oder Vishing. Diese Angriffe bleiben nicht folgenlos: Diebstahl persönlicher oder sensibler Informationen (Bankdaten, Zugangsdaten), Kontenübernahme oder finanzielle Verluste.
In einem Umfeld ständig wachsender Cyberbedrohungen entwickeln Hacker immer ausgefeiltere Techniken, um die Sicherheit von Nutzern, Unternehmen und Organisationen zu kompromittieren. Unter diesen Bedrohungen sticht Evilginx als hochwirksames und gefürchtetes Werkzeug hervor, das jede Form der Mehr-Faktor-Authentifizierung (MFA) umgehen kann. In Phishing-Kampagnen weit verbreitet, ist Evilginx zu einem mächtigen Werkzeug geworden — und es ist mit GottaPhish leicht zu nutzen!
Was ist Evilginx?
Kurz gesagt ist Evilginx ein fortgeschrittenes Phishing-Werkzeug, in Phishing-Kampagnen weit verbreitet, um MFA zu umgehen. Es arbeitet als Man-in-the-Middle-Proxy (MITM) und erlaubt Angreifern, die zwischen Nutzern und legitimen Websites ausgetauschten Daten abzufangen und zu manipulieren: Zugangsdaten, Session-Cookies und andere sensible Informationen.
Evilginx wird meist in Angriffen namens Attacker-in-the-Middle (AiTM) eingesetzt, einer fortgeschrittenen Form des Phishings, die jene bekannten Zwei-Faktor-Authentifizierungsverfahren besiegen kann, die uns eigentlich vor unbefugtem Zugriff online schützen sollen.
Was ist der Unterschied zum „klassischen“ Phishing?
„Klassische“ Phishing-Versuche und jene mit Evilginx sind tatsächlich verschieden.
Beim sogenannten klassischen Phishing reproduzieren Cyberkriminelle HTML-Vorlagen, die Login-Seiten ähneln — wie die von Outlook, LinkedIn, Ihrer Bank usw. — und ahmen ihr Aussehen so realistisch wie möglich nach. Ihr Ziel ist es, das Opfer dazu zu bringen, seine Zugangsdaten einzugeben, die dann von den Angreifern gestohlen und aufgezeichnet werden.
Mit Evilginx zeigt der Cyberkriminelle statt einfacher Nachahmvorlagen eine Phishing-Seite, die eine legitime Seite perfekt nachbildet. Gibt eine Nutzerin ihre Zugangsdaten und ihren MFA-Code ein, fängt Evilginx diese Informationen ab und reicht sie in Echtzeit an die echte Seite weiter. Die Nutzerin wird also zur echten Seite umgeleitet, ohne etwas zu ahnen, während der Angreifer gleichzeitig Zugriff auf das Konto erhält, ohne entdeckt zu werden.
Gewissermaßen ist Evilginx ein Relais zwischen der getäuschten Nutzerin und der echten Website — und sammelt dabei alle zwischen beiden Parteien ausgetauschten Daten.
Warum funktioniert die Zwei-Faktor-Authentifizierung nicht?
Ein wichtiges Detail: Evilginx fängt auch die nach der Authentifizierung erzeugten Session-Tokens ab. Wenn das Opfer seine Login-Daten eingibt und seinen Zwei-Faktor-Code liefern muss, erhält es zwar seinen Code — aber ohne zu wissen, dass Evilginx weiterhin dazwischen sitzt.
Wie funktioniert das? Bei jeder Zwei-Faktor-Authentifizierung wird ein Token in Form eines Cookies erzeugt, und dieses Cookie wird von Evilginx abgefangen und dann gespeichert. Genau das erlaubt dem Angreifer, den üblichen MFA-Schutz zu umgehen.
Leider hat der Cyberkriminelle in diesem Stadium alles, was zum Anmelden an den Konten des Opfers nötig ist — ohne je von der Zwei-Faktor-Authentifizierung gestoppt zu werden.
Als Beispiel: Ein Angreifer kann eine gefälschte Login-Seite bauen, die die einer Bank nachahmt. Gibt das Opfer Benutzername, Passwort und MFA-Code ein, reicht der Angreifer (mit Evilginx als Proxy) diese Informationen an die echte Bankseite weiter. Sobald die Authentifizierung gelingt, fängt der Angreifer die Session-Cookies ab, die er dann wiederverwenden kann, um sich bei künftigen Anmeldungen bei der Bank als das Opfer auszugeben — sogar nach geprüfter Zwei-Faktor-Authentifizierung.
Wie können Sie sich gegen Evilginx schützen?
Zugegeben, dieser bösartige Proxy kann beängstigend sein, weil er nahezu unsichtbar ist, doch es gibt einfache Wege, sich davor zu schützen.
1. Prüfen Sie die Domain der Website
Was Evilginx niemals kann, ist denselben Domainnamen zu haben wie die echte Website. Er wird immer leicht anders sein, weil Angreifer eine eigene Domain registrieren müssen — deshalb sollten Sie stets die Legitimität der Domain in der Adressleiste prüfen.
Zum Beispiel: Zielt ein Angreifer auf LinkedIn, könnte er einen Domainnamen wie linkediin.com oder llnkedin.com registrieren statt des echten: linkedin.com.
2. Nutzen Sie einen U2F-Sicherheitsschlüssel
Ein weiterer Schutz ist ein U2F-Sicherheitsschlüssel (Universal Second Factor), eine der sichersten Methoden für die Zwei-Faktor-Authentifizierung. Es ist ein physischer Sicherheitsschlüssel für MFA, der zusätzliche Sicherheit online bietet.
Er funktioniert so: Der Schlüssel kommuniziert direkt mit der Website, und wenn er einen Unterschied zwischen dem Domainnamen in der Adressleiste und dem der echten Website erkennt, wird die Kommunikation unterbrochen.
3. Schulen und sensibilisieren Sie für Cyberbedrohungen
Die eigentliche Gefahr von Evilginx ist, dass eine einzige getäuschte Mitarbeiterin genügt, um das gesamte Unternehmen und all seine vertraulichen Daten zu kompromittieren. Deshalb ist es sehr wichtig, Mitarbeitende zu schulen und sie für die Phishing-Risiken zu sensibilisieren, um jeden Sicherheitsvorfall im Unternehmen zu verhindern.
Bei GottaPhish bieten wir genau diese Art von Schulung zu Awareness-Zwecken, denn wir glauben, dass sich eine große Zahl von Cyberangriffen vermeiden ließe, wenn Mitarbeitende besser geschult wären.
Wir bieten sowohl Phishing-Werkzeuge, um personalisierte E-Mails an Mitarbeitende zu senden, als auch kurze und lange Schulungen auf E-Learning-Plattformen, zugeschnitten auf den Bedarf jeder Person.
Schauen Sie sich gern unsere Awareness-Werkzeuge an!
Wie können Sie Evilginx mit GottaPhish ausprobieren?
Einer der Nachteile, Evilginx allein zu nutzen, ist, dass es ein komplexes Werkzeug ist, das viel Vorbereitungszeit braucht. Der Aufbau erfordert mehrere technische Schritte, insbesondere die manuelle Konfiguration von Phishlets (spezielle Module, die die Zielwebsites getreu nachbilden). Ohne diese präzisen Konfigurationen kann Evilginx die Zugangsdaten oder Sitzungen der Zielseiten nicht wirksam abfangen — was es zu einem mächtigen, aber für unerfahrene Nutzer wenig zugänglichen Werkzeug macht.
Deshalb bieten wir Ihnen bei GottaPhish unser Werkzeug GottaPhish Evilginx: schnell und automatisiert.
Probieren Sie es aus — fordern Sie eine Demo an!