Proofpoint: Betrüger verschicken Millionen Spam-Mails im Namen von Disney & Co.
Aufgrund einer zu laxen Überprüfung in E-Mail-Relays von Proofpoint konnten Betrüger Millionen Spam-Mails am Spamfilter von Opfern vorbeischmuggeln.
(Bild: Shutter z/Shutterstock.com)
In der Spitze haben Cyberkriminelle Sicherheitsforschern von Guardio Labs zufolge an einem einzigen Tag 14 Millionen Spam-Mails im Namen von etwa Coca-Cola, Disney und IBM verschickt. Schuld daran war eine Schwachstelle in E-Mail-Relays vom Anbieter für IT-Sicherheitslösungen Proofpoint.
Account-Phishing
In einem Bericht führen die Forscher aus, dass die Betrüger diesen Weg gegangen sind, um legitim aussehende Spam-Mails zu verschicken, die sogar verschiedene Sicherheitschecks bestehen. Demzufolge sind die Mails ihnen zufolge in vielen Fällen nicht im Spam-Ordner von Opfern gelandet, sondern direkt im Posteingang.
Bei den Mails handele es sich um klassische Phishingmails, über die Betrüger unter anderem Zugangsdaten von Onlineaccounts abgreifen wollen. Die Forscher geben an, dass die Kriminellen seit Januar im Schnitt täglich 3 Millionen derartiger Mails verschickt haben. Im Juni waren es an einem Tag sogar 14 Millionen Spam-Nachrichten.
(Bild: Proofpoint)
Das Sicherheitsproblem
Die Forscher erläutern, dass die Betrüger das E-Mail-Spoofing mittels eigener über Virtual Private Server (VPS) aufgesetzte SMTP-Server realisiert haben. Mit kompromittierten Office-365-Accounts konnten sie aufgrund einer Schwachstelle die E-Mail-Relays von Proofpoint missbrauchen, um so im Namen von Disney & Co. Nachrichten verschicken.
Über diesen Weg verschickte Mails halten den Forschern zufolge sogar dem Sicherheitscheck Sender Policy Framework (SPF) zum Verhindern von gefälschten Absenderadressen stand und weisen eine gültige "DomainKeys Identified Mail"-Signatur (DKIM) auf. Das sorgt dafür, dass die betrügerischen Mails bei vielen E-Mail-Anbietern nicht im Spam-Ordner landen.
Das konnte funktionieren, weil die SPF-Checks seitens Proofpoint nicht streng genug eingestellt waren. Die Freigabe für Office-365-Konten war sehr freizügig und der komplette Office-365-IP-Adressbereich wurde durch Proofpoint freigeben, sodass jedes Konto dieser Art das E-Mail-Relay verwenden konnte. Da Proofpoint-Kunden ihren DKIM-Schlüssel hochladen, werden darüber verschickte Mails automatisch signiert.
Problem gelöst
Proofpoint gibt an, die Kampagne seit März 2024 zu beobachten. Sie versichern, das Spam-Problem mittlerweile gelöst zu haben. Dafür haben sie eigenen Angaben zufolge unter anderem ein Admin-Interface bereitgestellt, um restriktivere Berechtigungen einstellen zu können. Admins sollte sich zusätzlich die Sicherheitstipps von Proofpoint in Bezug auf Spoofing-E-Mails anschauen.
(des)
