HTTPS-Phishing-Angriffe: Wie Hacker SSL Zertifikate verwenden, um Vertrauen vorzutäuschen

Lassen Sie uns in das Jahr 1994 zurückreisen. Sie müssen nicht Ihren Pager herauskramen oder Ihr Flanellhemd anziehen. Das war das Jahr, in dem das erste SSL Protokoll geboren wurde. Es wurde von Netscape eingeführt, um den wachsenden Bedarf an zusätzlicher Sicherheit für diese neumodische Erfindung namens Internet zu decken.

Mehrere Versionen von SSL später wurde es schließlich zu dem TLS , das wir heute kennen. Wie ein schlechter Spitzname wird TLS jedoch immer noch als SSL bezeichnet.

Seit den Anfängen des Webbrowsers gibt es immer wieder Probleme mit der Sicherheit von SSL-Zertifikaten. Cyberkriminelle verwenden gerne Phishing-Betrügereien mit SSL -Zertifikaten und geben sie als vertrauenswürdige Websites aus. Diesen Betrug gibt es bereits seit 2005, als die ersten Berichte über Phishing mit SSL -Zertifikaten auftauchten.

According to a report by the Anti-Phishing Working Group (APWG) and contributor PhishLabs, in the first quarter of 2021, 83% of phishing sites had SSL encryption enabled. Amazingly, this was the first time that the number plateaued since PhishLabs began the study in 2015.

But organizations can’t use this news as a reason to start letting their guard down against SSL phishing attacks. Especially since phishing threats overall are on the rise with the total number increasing by 22% in the first half of 2021.

Warum Angreifer gerne SSL phishing betreiben

Es war Ronald Reagan, der das Sprichwort "vertraue, aber überprüfe" prägte, und das gilt besonders für SSL Zertifikate. Das kleine Vorhängeschloss-Symbol im Browser vermittelt ein Gefühl des Vertrauens, dass Sie geschützt sind und nicht jemand mit Ihrem ganzen Geld abhaut. Und es sind Cyber-Kriminelle, die darauf aus sind, dieses Vertrauen zu brechen.

SSL Zertifikate sollen all die Dinge schützen, die für Cyberkriminelle Gold wert sind - vom Geburtstag bis zur letzten Bankabhebung. Betrügerische HTTPS-Websites sind ein beliebtes Einfallstor für diese Informationen für Hacker, die wissen, wie sie leicht ein falsches Gefühl von Sicherheit vermitteln können. Es ist für sie relativ einfach, eine gefälschte HTTPS-Website mit dem vertrauenswürdigen Vorhängeschloss einzurichten, wobei die Angriffe oft als "geringes Risiko, hohe Belohnung" beschrieben werden.

Attackers’ M.O. is usually to obtain original SSL certificates for lookalike or typo-squatting domains or plain out stealing SSL certificates. Research from Deloitte found that 91% of all cyberattacks begin with a phishing email to unexpecting victims. They are typically lured to the sites via a link in an email sent from a legitimate address such as a reputable company or well-known person.

In the second quarter of this year, 90.5% of phishing sites used Domain Validated (DV) SSL Certificates. Organization Validated (OV) Certificates were the second most popular among cybercriminals and represented 9.51% of SSL Certificates. DV Certificates probably received top billing because they are easy to acquire and are often free. OV Certificates usually require the domain owner to take more steps to authenticate the site.

Only 11 sites had Extended Validation (EV) Certificates. Those sites were all legitimate sites that had been hacked rather than sites built by attackers who had somehow acquired EV certificates.

Die verschiedenen Arten von HTTPS-Phishing-Angriffen

Eines der bekanntesten Beispiele für die Verwendung von E-Mails und ähnlich aussehenden Websites für Phishing-Aktionen ist wohl Sony Pictures. Im Jahr 2014 schickten Hacker höchstwahrscheinlich gefälschte Apple-ID-E-Mails an Mitarbeiter von Sony. Mitarbeiter, die auf den Link in der E-Mail klickten, wurden auf eine Apple-Website geleitet, die der echten sehr ähnlich sah. Die Hacker konnten dann in das Unternehmen eindringen und Passwörter, Logins und andere wertvolle Daten stehlen.

Despite Apple being popular among attackers, it didn’t even make the top ten on Vade’s annual list of the most impersonated brands in phishing attacks. For the third year running the top spot went to Microsoft. It had 30,621 unique phishing URLs. Facebook followed with 14,876 URLs and PayPal, Chase, and eBay rounded out the top five. 

Im Folgenden werden einige gängige Arten von HTTPS-Phishing-Angriffen näher beleuchtet. Diese Techniken werden ständig weiterentwickelt, und viele werden in Kombination eingesetzt, um eine noch größere Bedrohung darzustellen.

• Man-in-the-Middle (MITM) Attack: Attackers eavesdrop on secure conversations between two parties who think they are just communicating with each other and often gain access using expired SSL certificates.
• SSL Stripping Attack: This is a form of the man-in-the-middle attack where hackers will downgrade a web connection from the more secure HTTPS to the less secure HTTP by stripping away the encryption.
• Wildcard Certificates: Attackers use a stolen private key to gain access to a wildcard certificate or they trick the certification authority into issuing it for a fake company.

HTTPS-Phishing und die COVID-19-Pandemie

Es ist keine Überraschung, dass Cyberkriminelle die Pandemie für HTTPS-Phishing-Angriffe nutzen würden. Sie nutzen die Menschen in einer schwierigen Zeit mit Social-Engineering-Taktiken aus, die sie auf betrügerische Websites locken, die von Heilmitteln bis hin zu gefälschten Nachrichten alles anbieten. 

SpyCloud analyzed a list of over 136,000 hostnames and fully qualified domain names with COVID-19 or coronavirus themes. It found that 78.4% of the COVID-19-themed domains used HTTP and the rest used HTTPS.

Pandemic-related phishing attempts in June 2021 increased 33% compared to a lull in COVID-19-themed threat campaigns through the spring and early summer of 2021 when virus concerns temporarily waned. The June spike occurred right when Google searches for “Delta variant” was peaking.

There has also been an uptick in companies’ HR departments asking employees to send proof of vaccination (with the birth date!) or personal coronavirus test results via an unsecured form or upload that is ripe for hackers. Another method on the rise is sending phishing emails telling employees they are losing their jobs because of the pandemic.

Due to the pandemic, many companies have pivoted to work-from-home situations. However, organizations have been lacking in enforcing their cybersecurity protocols and employees have been operating at home with little oversight. More than half of IT leaders believe employees have picked up bad cybersecurity behaviors since working remotely.

Remote work has led to an increased reliance on cloud applications. Microsoft Office 365 has been a go-to platform for distributed workers, and it is estimated that Office 365 is used by over a million companies worldwide. The problem is that Office 365 is a favorite among hackers. There has been a high volume of multiple corporate phishing attempts to steal Microsoft Office 365 credentials. Victims are often directed to input their Microsoft login credentials on imposter sites that appear real but lack the proper SSL certificate.

Oder Kriminelle greifen Microsofts Tochterunternehmen wie den Cloud-basierten E-Mail-Verwaltungsdienst Mimecast an. Anfang dieses Jahres behauptete Mimecast, dass Angreifer es auf das digitale Zertifikat abgesehen hatten, das es bestimmten Kunden für die sichere Verbindung seiner Produkte mit Microsoft 365 zur Verfügung stellte. Bei dem kompromittierten Zertifikat handelte es sich höchstwahrscheinlich um ein vertrauenswürdiges SSL -Zertifikat, das für Mimecast ausgestellt worden war.

Schützen Sie Ihr Unternehmen vor HTTPS-Phishing

As of February 2021, Google Chrome accounted for around 46% of the overall internet browser market share in the United States. Google reports that over 90% of page loads in Chrome on most operating systems occur over HTTPS compared with HTTP. Starting this year, Google’s Chrome web browser will be rolling out an optional default for “HTTPS-Only Mode.” The new setting will appear as a simple toggle under the settings security page and when set would make HTTP websites inaccessible.

Additionally, Google wants to retire the padlock icon and is considering instead trying a downward-facing chevron/caret that opens a menu to set site permissions and see other site details. In Google’s survey of moderately tech-savvy respondents, only 11% of participants could correctly identify the meaning of the padlock icon. Some thought it was the bookmark icon or the site’s favicon. And this problem is just one more layer in people’s understanding that just because a site has HTTPS, it doesn’t mean that it is guaranteed to be trustworthy.

Wahrscheinlich gibt es in Ihrem Unternehmen einen Abschnitt über Phishing-Angriffe, aber vergewissern Sie sich, dass er sich speziell auf HTTPS-Phishing bezieht. Lange Zeit sind die Mitarbeiter davon ausgegangen, dass, wenn sie das Vorhängeschloss-Symbol sehen, die Seite, die sie besuchen, sicher ist. Klären Sie sie über die HTTPS-Cyberbedrohungen auf, um Ihr Unternehmen besser vor Phishing-Angriffen mit SSL Zertifikaten zu schützen.

Im Folgenden finden Sie einige einfache Tipps, die Sie an Ihr Unternehmen weitergeben können:

• Wenn ein Mitarbeiter eine verdächtige E-Mail mit einem Link erhält, weisen Sie ihn an, die Person direkt anzurufen oder zu mailen (nicht zu antworten) und zu fragen, ob sie die E-Mail gesendet hat. Dies gilt für Personen innerhalb und außerhalb des Unternehmens.
• Schauen Sie sich die URL der Website genau an und achten Sie auf Rechtschreibfehler oder die falsche Domäne, z. B. die Verwendung von .gov statt .com. Raten Sie ihnen, die URL direkt in ihren Browser einzugeben, anstatt direkt auf den Link zu klicken.
• Bringen Sie dem Mitarbeiter bei, wie er mit dem Mauszeiger über den Link fahren kann, um zu sehen, ob das Ziel das richtige ist. Weisen Sie darauf hin, dass die Person nur mit dem Mauszeiger über den Link fahren und nicht darauf klicken soll, auch wenn es sich um eine sichere Website zu handeln scheint.
• Vermeiden Sie die Verwendung von Wildcard-Zertifikaten auf Produktionssystemen, da dies das Risiko und die Angriffsfläche erhöht, wenn ein Server oder ein Zertifikat kompromittiert wird.