Google Docs: Phishing-Attacke über OAuth

von Bernd Kling am , 12:55 Uhr

E-Mails geben Nutzern vor, ein ihnen bekannter Absender hätte ein Google-Docs-Textdokument mit ihnen geteilt. Über den Anmeldedienst OAuth verlangt eine als „Google Docs“ getarnte Web-App dann Zugriffsrechte für Google-Dienste.

Angreifern ist es in großem Umfang gelungen, Nutzer zu täuschen und sich über den Anmeldedienst OAuth Zugang zu ihren E-Mails und Kontaktdaten [1] zu verschaffen. Mit Phishing-Mails gaben sie vor, ein ihnen bekannter Absender hätte ein bei Google [2] Docs angelegtes Textdokument mit ihnen geteilt. Eine legitim wirkende Schaltfläche forderte zum „Öffnen in Google Docs“ auf.

Google Docs (Bild: Google) [3]

Ein Klick führte zu OAuth, das es Nutzern erlaubt, sich bei Diensten und Apps anzumelden. Statt jedoch ein separates Konto anzulegen, können sie per OAuth ein vorhandenes Konto eines anderen Anbieters wie Google oder Facebook [4] verwenden. Eine App fragt dann beispielsweise ab, ob die eingegebenen Anmeldedaten den bei Google hinterlegten Informationen entsprechen, das dann einen Log-in-Token übermittelt, mit dem die eigentliche Anmeldung bei der App erfolgt.

Die Angreifer setzten hier aber eine bösartige Web-App ein, die sich als Google Docs ausgab. Ihr Zweck bestand aber allein darin, Token für Nutzerkonten zu bekommen, auf die E-Mails zuzugreifen und die Phishing-Attacke dann auf alle Kontakte dieses Nutzers auszuweiten – was schnell zu einer lawinenartigen Verbreitung führte. Sie nutzten dabei aus, dass vielen Anwendern nicht bewusst ist, dass das echte Google Docs und Google Drive OAuth nicht für den Zugang zu ihrem Google-Konto benötigen. So ließen sich Opfer dazu verleiten, der vorgeblichen Google-Docs-Anwendung Zugriff auf von ihnen benutzte Google-Dienste zu gewähren.

HIGHLIGHT

Zwei-Faktor-Authentifizierung: Mehr Sicherheit für Facebook, Twitter und andere Dienste [5]

Fast täglich wird über den Verlust von Zugangsdaten berichtet. Gegen den Missbrauch dieser Daten können sich Anwender mit der Aktivierung einer Zwei-Faktor-Authentifizierung schützen. Wie das genau funktioniert, erläutert der folgende Artikel.

Trend Micro sieht diese Angriffstechnik als besonders ausgeklügelt an, da die E-Mail selbst keine Schadsoftware transportiert. Außerdem konnte die benutzte URL nicht automatisch durch Sicherheitslösungen blockiert werden, da es es sich tatsächlich um eine legitime Domain handelte, die Google gehörte. In einem solchen Fall kann den Angriff nur ein aufgeklärter Nutzer abwenden.

„Anders bei einer typischen Phishing-Attacke ist das Ziel hier nicht, das System des Nutzers zu kompromittieren“, schreiben die Sicherheitsforscher dazu in einem Blogeintrag [6]. „Das Ziel ist vielmehr, ihr Google-Konto zu kompromittieren.“

Eine ähnliche Kampagne führte zuvor schon die Gruppe Pawn Storm durch, die mit einer bösartigen Anwendung namens „Google Defender“ vorgab, die Konten der Opfer schützen zu wollen – und ebenfalls eine OAuth-Verbindung nutzte, um tatsächlich Nutzerdaten abzugreifen. Grundsätzlich schwierig sei es, Angriffe zu verhindern und zu erkennen, deren Ziel das Google-Konto ist.

Google hat inzwischen reagiert und die Konten gesperrt, von denen der Angriff ausging. Außerdem wurden die gefälschten Seiten entfernt und Updates durch Safe Browsing verteilt. Beim Verdacht, auf eine betrügerische E-Mail hereingefallen zu sein, empfiehlt sich die Überprüfung auf Apps und Websites, denen Zugriff auf das Google-Konto [7] gestattet wurde.

ANZEIGE

Wie Sie mit digitalen Workflows Ihre Geschäftsprozesse agiler machen. [8]

Gerade für mittelständische Unternehmen ist es entscheidend, dass Dokumentenprozesse ohne hohen Consulting- und Customizing-Aufwand umgestellt und digitalisiert werden. In diesem E-Book stellen wir Ihnen die Möglichkeiten digitaler Dokumentenprozesse vor und zeigen, wie eine standardisierte und skalierbare Lösung speziell für den Mittelstand aussehen kann.

Artikel von ZDNet.de: http://www.zdnet.de

URL zum Artikel: http://www.zdnet.de/88294897/google-docs-phishing-attacke-ueber-oauth/

URLs in this post:

[1] Zugang zu ihren E-Mails und Kontaktdaten: https://arstechnica.com/security/2017/05/google-docs-phish-worm-grabs-your-google-app-permissions-contacts/

[2] Google: http://www.zdnet.de/unternehmen/google/

[3] Image: http://www.zdnet.de/wp-content/uploads/2016/02/google-docs-symbol.png

[4] Facebook: http://www.zdnet.de/unternehmen/facebook/

[5] Zwei-Faktor-Authentifizierung: Mehr Sicherheit für Facebook, Twitter und andere Dienste: http://www.zdnet.de/88272640/zwei-faktor-authentifizierung-mehr-sicherheit-fuer-facebook-twitter-und-andere-dienste/

[6] Blogeintrag: http://blog.trendmicro.com/oauth-phishing-rise/

[7] Zugriff auf das Google-Konto: https://myaccount.google.com/u/0/permissions?pli=1

[8] Wie Sie mit digitalen Workflows Ihre Geschäftsprozesse agiler machen.: http://asn.advolution.de/0001531c5F0012226/?rnd=[cachebuster]