Berüchtigte Cybercrime-Gruppe nimmt jetzt Zendesk-Nutzer ins Visier

ReliaQuest warnt davor, dass das kriminelle Kollektiv „Scattered Lapsus$ Hunters“ offenbar Social-Engineering-Angriffe nutzt, um auf die Zendesk-Instanzen von Organisationen abzuzielen.

Diese Gruppe war bereits Anfang des Jahres für eine weit verbreitete Kampagne verantwortlich, bei der mittels Voice-Phishing-Attacken die Salesforce-Portale dutzender Unternehmen kompromittiert wurden.

„Das Threat-Research-Team von ReliaQuest hat Zendesk-bezogene Domains identifiziert, darunter mehr als 40 typosquattete Domains und imitierende URLs, die in den letzten sechs Monaten erstellt wurden“, schreiben die Forscher.

„Diese Domains, wie znedesk[.]com oder vpn-zendesk[.]com, sind eindeutig darauf ausgelegt, legitime Zendesk-Umgebungen nachzuahmen. Einige beherbergen Phishing-Seiten, etwa gefälschte Single-Sign-On-(SSO)-Portale, die vor der Zendesk-Authentifizierung erscheinen. Das ist eine klassische Taktik, die wahrscheinlich darauf abzielt, Zugangsdaten von ahnungslosen Nutzern zu stehlen. Wir haben auch Zendesk-bezogene Imitations-Domains identifiziert, die mehrere verschiedene Organisationsnamen oder Marken innerhalb der URL enthielten, was es noch wahrscheinlicher macht, dass ahnungslose Nutzer diesen Links vertrauen und darauf klicken.“

Die Gruppe Scattered Lapsus$ Hunters ist sehr versiert in diesen Arten von Social-Engineering-Angriffen und nutzt den Zugang, um sich einen Fuss in die Tür von Organisationen zu verschaffen. Einmal eingedrungen, stehlen sie so viele Daten wie möglich und versuchen, die Opfer zu erpressen, indem sie sie auf Leak-Seiten listen.

„Wir haben auch Hinweise darauf, dass gefälschte Tickets direkt an legitime Zendesk-Portale gesendet werden, die von Organisationen für den Kundenservice betrieben werden“, sagt ReliaQuest.

„Diese gefälschten Einsendungen sind darauf ausgelegt, Support- und Helpdesk-Mitarbeiter gezielt zu infizieren – beispielsweise mit Remote-Access-Trojanern (RATs) und anderen Arten von Malware. Das gezielte Vorgehen gegen Helpdesk-Teams erfolgt häufig mit ausgefeilten Vorwänden, etwa dringenden Systemadministrationsanfragen oder gefälschten Passwort-Reset-Anfragen. Ziel ist es, Support-Mitarbeiter dazu zu verleiten, Zugangsdaten herauszugeben oder ihre Endgeräte zu kompromittieren.“

Das CSF Computer Solutions Facility AG Sicherheitsteam