Stellungnahme von Proofpoint zu Missbrauch von Link Wrapping

Proofpoint ist bekannt, dass Angreifer die URL-Weiterleitungen und den URL-Schutz des Unternehmens derzeit in Phishing-Kampagnen missbrauchen. Dieses Vorgehen hat Proofpoint bei verschiedenen Sicherheitsdienstleistern beobachtet, die E-Mail-Schutz bzw. URL-Rewrites anbieten.

In diesen Kampagnen missbrauchen Angreifer entweder eine offene Weiterleitung, um auf eine umgeschriebene URL zu verlinken, oder kompromittieren ein E-Mail-Konto, das über eine Form von E-Mail-Schutz verfügt. Anschließend senden sie eine E-Mail mit einem Phishing-Link an das kompromittierte Konto. Der Sicherheitsdienstleister schreibt die URL um und der Angreifer stellt sicher, dass der Link nicht blockiert wird. Danach fügt der Angreifer die umgeschriebene URL in verschiedene Weiterleitungsketten ein. Proofpoint hat beobachtet, dass Angreifer diese Technik einsetzen und URLs mehrerer Sicherheitsanbieter – darunter Sophos und Cisco – missbrauchen.

Proofpoint erkennt diese Kampagnen mithilfe seiner KI-basierten Erkennungs-Engine, die Verhaltensanalysen nutzt, und sortiert die Nachrichten aus. Außerdem blockiert das Unternehmen die endgültige URL am Ende der Weiterleitungskette, um eine Ausnutzung zu verhindern.

Wenn Angreifer eine umgeschriebene URL eines Sicherheitsdienstes verwenden (einschließlich Proofpoint), wird die gesamte Angriffskette für jeden Empfänger der Kampagne blockiert, sobald der Sicherheitsdienst die endgültige URL blockiert. Dies gilt unabhängig davon, ob der Empfänger Kunde dieses Sicherheitsdienstes ist oder nicht.