DKIM-Replay-Angriffe aufgedeckt: Wie Cyberkriminelle Rechnungs-E-Mails von Apple und PayPal missbrauchen
Cyberkriminelle setzen nicht mehr auf offensichtliche Phishing-Tricks oder schlecht gefälschte E-Mails. Stattdessen nutzen sie zunehmend vertrauenswürdige Plattformen, legitime Arbeitsabläufe und kleine Lücken in weit verbreiteten Sicherheitsmaßnahmen aus. Durch die Manipulation alltäglicher Geschäftsprozesse, denen die Nutzer bereits vertrauen, verwandeln Angreifer seriöse Infrastrukturen in einen unwissentlich genutzten Übertragungsweg für Betrugsversuche, wodurch bösartige Nachrichten weitaus schwerer zu erkennen sind und die Erfolgswahrscheinlichkeit deutlich steigt.
Kaseya INKY hat Angriffe festgestellt, bei denen Kriminelle legitime Rechnungen und Reklamationsbenachrichtigungen von bekannten Anbietern wie PayPal, Apple, DocuSign und HelloSign missbrauchen.
Schützen Sie sich mit Kaseya Inky vor bösartigen E-Mails
Verhindern Sie ausgefeilte Phishing-Angriffe und E-Mail-basierte Bedrohungen, bevor sie die Nutzer erreichen – mit INKY
Auf diesen Plattformen können Nutzer bei der Erstellung einer Rechnung oder einer Benachrichtigung häufig einen „Verkäufernamen“ eingeben oder einen benutzerdefinierten Vermerk hinzufügen. Angreifer missbrauchen diese Funktion, indem sie Betrugsanweisungen und eine Telefonnummer in diese vom Nutzer kontrollierten Felder einfügen. Anschließend senden sie die so erstellte Rechnung oder Streitfallmitteilung an eine E-Mail-Adresse, die sie kontrollieren, und stellen so sicher, dass der schädliche Inhalt in eine legitime, vom Anbieter generierte Nachricht eingebettet ist.
Da die Nachricht direkt vom Anbieter, beispielsweise PayPal, stammt und kryptografisch signiert ist, durchläuft sie problemlos die Prüfungen von DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting & Conformance (DMARC). Nach Erhalt der legitimen E-Mail leitet der Angreifer diese einfach an seine beabsichtigten Ziele weiter. Das Ergebnis ist eine Nachricht, die authentisch wirkt, die E-Mail-Authentifizierung besteht und fast ohne Vorwarnung in den Posteingängen landet.
Diese als „DKIM-Replay-Angriff“ bezeichnete Technik wird von Angreifern zunehmend eingesetzt, um Endnutzer zu täuschen und herkömmliche E-Mail-Sicherheitsmaßnahmen zu umgehen.
So funktionieren DKIM-Replay-Angriffe – und warum sie so effektiv sind
Ein DKIM-Replay-Angriff liegt vor, wenn ein Angreifer eine legitime, mit DKIM signierte E-Mail abfängt und dieselbe Nachricht anschließend an weitere Empfänger „weiterleitet“. Da die ursprünglichen Kopfzeilen und der Nachrichtentext unverändert bleiben, wird die DKIM-Signatur weiterhin als gültig erkannt. Infolgedessen besteht die E-Mail die DMARC-Authentifizierung, obwohl sie von einem Angreifer weitergeleitet und nicht vom ursprünglichen Absender zugestellt wird. Um die DKIM-Sicherheit nicht zu untergraben, nehmen Angreifer bewusst keine Änderungen an der Nachricht vor, nachdem diese signiert wurde.
Um zu verstehen, warum dies funktioniert, ist es hilfreich, sich anzusehen, wie die E-Mail-Authentifizierung funktioniert:
- DKIM fügt den Kopfzeilen und dem Textkörper einer E-Mail eine kryptografische Signatur hinzu. Der empfangende Mailserver verwendet den öffentlichen Schlüssel der Absenderdomain, um zu überprüfen, ob der signierte Inhalt während der Übertragung nicht verändert wurde. DKIM überprüft die Integrität der Nachricht, bestätigt jedoch nicht, wer die E-Mail tatsächlich versendet hat.
- DMARC baut auf DKIM oder dem Sender Policy Framework (SPF) auf, indem es die Übereinstimmung zwischen der authentifizierten Domain und der sichtbaren „From: “-Adresse überprüft. Wenn DKIM die Überprüfung besteht und mit der „From: “-Domain übereinstimmt, besteht auch DMARC die Überprüfung.
Angreifer nutzen dieses Verhalten aus, um Phishing- oder Betrugsinhalte über seriöse Domains zu verbreiten, denen die Empfänger bereits vertrauen. Selbst wenn SPF-Prüfungen bei der Weiterleitung fehlschlagen, sorgt eine gültige und übereinstimmende DKIM-Signatur oft dafür, dass die DMARC-Prüfung bestanden wird. Dies macht DKIM-Replay-Angriffe für herkömmliche E-Mail-Sicherheitstools besonders schwer zu erkennen und für Angreifer, die es auf Endnutzer abgesehen haben, zunehmend attraktiv.
DKIM-Replay-Angriffe in der Praxis: Missbrauch von Rechnungen bei Apple und PayPal
Das Kaseya- INKY t festgestellt, dass Angreifer aktiv legitime E-Mails von Apple und PayPal missbrauchen, um Betrugsversuche durchzuführen, die Authentifizierungsprüfungen bestehen und für die Empfänger vertrauenswürdig erscheinen.
Apple App Store-Rechnung bei DKIM-Replay-Angriffen missbraucht
| Kopfzeilenfeld | Wert |
|---|---|
| Von | no_reply@email.apple.com |
| An | apple02@zantigoo.com (E-Mail-Adresse des Angreifers) |
| Betreff | Bestätigung der Anmeldung |
| DKIM-Signatur | d=email.apple.com |
Abb. 2: E-Mail-Metadaten
Hier ist eine Schritt-für-Schritt-Beschreibung des Angriffs:
- So erhält man eine legitime, DKIM-signierte E-Mail: Der Angreifer erstellt eine Apple-ID und abonniert (in diesem Fall) die Surfshark-VPN-App im Apple App Store. Während des Anmeldevorgangs fügt er böswilligen Inhalt – „Zum Kündigen rufen Sie bitte +1 (803) 745-3821 an “ – in das Feld für den Kontonamen ein. Das automatisierte System von Apple generiert daraufhin eine E-Mail zur Bestätigung des Abonnements, die diesen Wert enthält, und signiert sie mit dem DKIM-Schlüssel der Domain.
- Gültige DKIM-Signatur: Der DKIM-Header der E-Mail zeigt, dass Apple wichtige Header und den gesamten Nachrichtentext signiert hat. Empfangende Mailserver überprüfen diese Signatur mithilfe des öffentlichen DKIM-Schlüssels von Apple und kennzeichnen die Nachricht daher als „dkim=pass“ und „dmarc=pass“.
- Nachstellung: Nachdem der Angreifer die legitime E-Mail erhalten hat, leitet er sie an eine Liste von Opfern weiter, beispielsweise mithilfe von Outlook oder einem anderen SMTP-Client (Simple Mail Transfer Protocol). Durch das Weiterleiten werden weder die signierten Kopfzeilen noch der Textkörper verändert, sodass die DKIM-Signatur gültig bleibt. Zwar ändern sich die Empfängeradressen im Envelope, doch DMARC wertet die „From: “-Domain in der Kopfzeile und die DKIM-Signatur aus – nicht den „RCPT TO“-Wert im Envelope.
- Zustellung an die Opfer: Da die Nachricht von einer seriösen Domain (email.apple.com) stammt und alle Authentifizierungsprüfungen (DKIM und DMARC) erfolgreich durchlaufen, wird sie von vielen E-Mail-Filtern als legitim eingestuft. Die ungewöhnliche Anrede – „Dear, To cancel Call +1 (803) 745-3821“ – ist möglicherweise das einzige offensichtliche Warnzeichen. Ahnungslose Empfänger rufen möglicherweise die angegebene Telefonnummer an, wodurch Betrüger Zahlungsdaten oder personenbezogene Daten (PII) abgreifen können. Sie können die Opfer auch anweisen, bösartige Websites zu besuchen, um Malware oder Fernzugriffssoftware zu installieren oder Informationen über betrügerische Formulare zu übermitteln.
PayPal-Rechnungsstreitigkeiten werden bei DKIM-Replay-Angriffen missbraucht
Abb. 3: Von DKIM-Replay-Angriffen missbrauchte, von PayPal beanstandete Rechnung
| Kopfzeilenfeld | Wert |
|---|---|
| Von | service@paypal.com |
| An | Kenji Smith carey_mary@myyahoo.com (E-Mail-Adresse des Angreifers) |
| Betreff | Wir haben Ihren PayPal-Fall erhalten |
| DKIM-Signatur | d=paypal.com |
Abb. 4: E-Mail-Metadaten
Hier ist eine Schritt-für-Schritt-Beschreibung des Angriffs:
- Erstellen eines PayPal-Falls oder einer Rechnung mit böswilligem Inhalt: Der Angreifer nutzt sein PayPal-Konto, um einen Streitfall zu eröffnen oder eine Rechnung auszustellen, und gibt als „Verkäufernamen“ eine Betrugsnachricht an, die eine Telefonnummer enthält. Das PayPal-System speichert diesen vom Nutzer angegebenen Wert ohne Überprüfung.
- Die E-Mail an ein vom Angreifer kontrolliertes Postfach senden: Der Angreifer sendet die Rechnung oder die Benachrichtigung über den Vorgang an eine E-Mail-Adresse, die er kontrolliert. PayPal generiert eine Bestätigungs-E-Mail von service@paypal.com und signiert sie mit dem DKIM-Schlüssel der Domain. Die Nachricht enthält den betrügerischen „Verkäufernamen“.
- Gültige DKIM-Signatur: Der DKIM-Header der E-Mail zeigt an, dass PayPal wichtige Header-Felder und den gesamten Nachrichtentext signiert hat. Empfangende Mailserver überprüfen diese Signatur anhand des öffentlichen DKIM-Schlüssels von PayPal und kennzeichnen die Nachricht daher mit „dkim=pass“ und „dmarc=pass“.
- Replay-Angriff auf Opfer: Der Angreifer leitet die unveränderte E-Mail über seinen eigenen SMTP-Dienst an die vorgesehenen Opfer weiter. Während sich der Empfänger im Envelope-Feld ändert, bleibt das „To: “-Feld im Header auf die Adresse des Angreifers gesetzt, sodass die DKIM-Signatur gültig bleibt. Da die E-Mail von einer legitimen PayPal-Domain stammt und die Authentifizierungsprüfungen besteht, leiten die meisten Spam- und Anti-Phishing-Filter sie in den Posteingang des Opfers weiter.
- Das Opfer ruft die Betrugsnummer an: Nachdem es eine überzeugend wirkende Benachrichtigung von PayPal und eine dringende Meldung über eine strittige Transaktion erhalten hat, ruft das Opfer wahrscheinlich die angegebene Telefonnummer an. Während des Gesprächs versuchen die Betrüger in der Regel, Finanzdaten oder personenbezogene Daten zu erlangen oder das Opfer dazu zu überreden, eine Fernzugriffssoftware zu installieren.
Warum herkömmliche E-Mail-Sicherheitsmaßnahmen DKIM-Replay-Angriffe oft nicht abwehren können
Herkömmliche E-Mail-Sicherheitsmaßnahmen sind darauf ausgelegt, gefälschte Absender und manipulierte Nachrichten zu erkennen. Bei DKIM-Replay-Angriffen nutzen Angreifer jedoch vollkommen legitime, authentifizierte E-Mails, wodurch diese Nachrichten die Abwehrmechanismen umgehen können, die sich stark auf Authentifizierungssignale stützen.
Zu den häufigsten Fehlerquellen gehören:
- Gültige DKIM- und DMARC-Signaturen: Die Nachricht stammt von Apple oder PayPal und wurde mit den legitimen DKIM-Schlüsseln der jeweiligen Organisation signiert. Daher wird die Signatur erfolgreich verifiziert und der DMARC-Check wird bestanden, obwohl die E-Mail von einem Angreifer weitergeleitet wurde.
- SPF-Fehlabgleich: Der Weiterleitungsserver des Angreifers ist gemäß den SPF-Einträgen von Apple oder PayPal nicht autorisiert, was zu einem SPF-Fehler führt. DMARC wird jedoch weiterhin bestanden, da die DKIM-Authentifizierung allein für die DMARC-Konformität ausreicht.
- Von Nutzern bereitgestellte Inhalte: Apple und PayPal ermöglichen es Nutzern, Freitext in die Felder für den Verkäufernamen oder für Anmerkungen einzugeben. Diese Inhalte werden in den DKIM-signierten Nachrichtentext aufgenommen, sodass Angreifer bei der Registrierung Betrugsanweisungen oder Telefonnummern einfügen können, ohne dass die Signatur dadurch ungültig wird.
Kaseya- INKY , erkennt mithilfe von GenAI Bedrohungen wie DKIM-Replay-Angriffe
Abb. 5: „ INKY “ erkennt den markierten Text als schädlich
Bewährte Verfahren: Leitlinien und Empfehlungen
DKIM-Replay-Angriffe nutzen das Vertrauen in bekannte Marken und authentifizierte E-Mails aus, weshalb sowohl für Nutzer als auch für Sicherheitsteams ein hohes Maß an Sensibilisierung und Wachsamkeit von entscheidender Bedeutung ist.
- Überprüfen Sie den „To:“-Header: Vergewissern Sie sich, ob die „To: “-Adresse im Nachrichten-Header mit dem beabsichtigten Empfänger übereinstimmt. Eine Diskrepanz zwischen den sichtbaren Headern und dem Empfänger im Umschlag kann darauf hindeuten, dass die E-Mail weitergeleitet oder von einem Angreifer nachgestellt wurde.
- Seien Sie vorsichtig bei Telefonnummern: Seriöse Benachrichtigungen von Apple und PayPal weisen Nutzer darauf hin, sich auf den offiziellen Websites anzumelden, und nicht, unaufgefordert angegebene Telefonnummern anzurufen. Nutzer sollten es vermeiden, Nummern anzurufen, die in unerwarteten E-Mails angegeben sind, insbesondere wenn darin dringende Probleme mit dem Konto oder der Zahlung behauptet werden.
Durch die Kombination von Header-Prüfungen mit der Aufklärung der Nutzer über gängige Betrugsmaschen können Unternehmen das Risiko verringern, dass DKIM-Replay-Angriffe Endnutzer erreichen und diese täuschen.
