Cyberkriminelle bleiben nie untätig, sondern entwickeln ihre Taktiken ständig weiter, um Vertrauen, Vertrautheit und menschliche Instinkte auszunutzen. INKY beobachtet INKY , wie Angreifer Cloud-E-Mail-Plattformen und sprachbasiertes Social Engineering als Waffen einsetzen, um Sicherheitskontrollen zu umgehen. Ein aktuelles Beispiel ist eine Phishing-Kampagne, bei der Hunderte von E-Mails von einem kompromittierten SendGrid-Konto, das mit OpenAI verknüpft ist, versendet wurden, um betrügerische Rechnungen auszustellen.

Schützen Sie sich mit Kaseya Inky vor bösartigen E-Mails

Stoppen Sie mit INKY fortgeschrittene Phishing-Angriffe und E-Mail-basierte Bedrohungen, bevor sie die Benutzer erreichen.

Los geht's

Eine E-Mail mit Rechnungsinhalt, die angeblich von OpenAI stammte, wurde von [email protected] über SendGrid versendet. Da die Nachricht über ein legitimes OpenAI-SendGrid-Konto versendet wurde, durchlief sie die SPF-, DKIM- und DMARC-Prüfungen für openai.com. Darin wurde behauptet, dass eine Abonnementgebühr in Höhe von 763,99 US-Dollar bestätigt worden sei, und der Empfänger wurde aufgefordert, eine support anzurufen, um dies anzufechten. Die Nachricht enthielt keine bösartigen Links oder Anhänge. Die einzige Handlungsaufforderung war eine Telefonnummer. Durch dieses Design kann der Betrug URL-Filter-Gateways umgehen und gleichzeitig das Vertrauen users in bekannte Marken und Telefongespräche ausnutzen.

Abb. 1: Die Phishing-E-Mail mit Rechnungsmotiv

Missbrauch der SendGrid-Infrastruktur

Legitime E-Mail-Versandplattformen sind zu mächtigen Werkzeugen für Angreifer geworden, die sich in die normale Geschäftskommunikation einfügen wollen.

SendGrids Anziehungskraft auf Angreifer

SendGrid wird von Unternehmen häufig zum Versenden von Transaktions- und Marketing-E-Mails in großem Umfang genutzt. Es bietet eine hohe Zustellbarkeit und erweiterte Funktionen wie Klick-Tracking und Analysen. Cyberkriminelle missbrauchen jedoch SendGrid-Konten, um Phishing-Kampagnen zu starten, wobei sie sich als SendGrid selbst und andere vertrauenswürdige Marken ausgeben. Die versprochene Zustellungsrate von 99 % macht die Plattform für Kriminelle attraktiv. Ein kompromittiertes SendGrid-Konto ermöglicht es ihnen, gefälschte E-Mails zu versenden, die SPF/DKIM-Prüfungen bestehen und für die Empfänger legitim erscheinen.

Mögliche Kompromittierung des SendGrid-Kontos von OpenAI

Die Phishing-E-Mails dieser Kampagne haben nicht nur den Namen von OpenAI gefälscht, sondern wurden auch über ein echtes SendGrid-Konto versendet, das auf der Domain openai.com konfiguriert war. Die Nachrichten haben die SPF-, DKIM- und DMARC-Prüfungen für openai.com bestanden und enthielten SendGrid-spezifische Header, was darauf hindeutet, dass der Absender über einen authentifizierten Zugriff auf den SendGrid-Mandanten von OpenAI verfügte.

Es gibt mehrere plausible Wege, über die Kriminelle einen solchen Zugang erhalten haben könnten:

Massenhaftes Knacken von Passwörtern und Übernahme von Konten: Die Muttergesellschaft von SendGrid, Twilio, gab zu, dass viele Kundenkonten kompromittiert und für Spam missbraucht wurden. KrebsOnSecurity berichtete, dass eine ungewöhnlich große Anzahl von SendGrid-Kundenkonten gehackt und ihre Passwörter an Spammer verkauft wurden, wodurch Kriminelle Phishing- und Malware-Kampagnen über vertrauenswürdige Kundendomains versenden konnten. Sobald ein SendGrid-Konto gehackt wurde, passieren die daraus resultierenden E-Mails die einfachen Spamfilter, da die Empfänger der Infrastruktur von SendGrid vertrauen.
Untergrundmarkt für SendGrid-Zugangsdaten: Cyberkriminelle handeln aktiv mit Zugangsdaten zu gekaperten SendGrid-Konten. Der Chief Security Officer von Twilio räumte ein, dass das Unternehmen einen Anstieg kompromittierter Konten verzeichnet habe und dass die Multi-Faktor-Authentifizierung (MFA) nicht obligatorisch sei. Forscher stellen fest, dass der Markt für diese Konten durch die Wiederverwendung von Passwörtern angeheizt wird: Angreifer nehmen users ins Visier users Anmeldedaten auf verschiedenen Websites wiederverwenden, und verkaufen dann funktionierende Logins. Ein Verkäufer, der unter dem Namen „Kromatix“ auftritt, bot mehr als 400 kompromittierte SendGrid-Konten an und legte den Preis anhand des monatlichen E-Mail-Volumens fest, das sie versenden konnten. Diese gestohlenen Konten können verwendet werden, um API-Schlüssel zu generieren und Phishing-E-Mails mit hoher Zustellbarkeit zu versenden.
Phishing und Dasken Sammeln: Angreifer können users phishen, um ihre Anmeldedaten zu stehlen. Da Kriminelle das kompromittierte Konto zum Versenden authentifizierter E-Mails verwenden können, werden die Domains der Opfer unwissentlich zu Teilnehmern an zukünftigen Angriffen. Wenn ein Mitarbeiter oder Auftragnehmer von OpenAI sein SendGrid-Passwort wiederverwendet hat oder wenn seine Anmeldedaten bei einem separaten Sicherheitsverstoß kompromittiert wurden, können sich Angreifer beim SendGrid-Dashboard anmelden und eine betrügerische Rechnungsaktion erstellen.
Schwache oder fehlende Multi-Faktor-Authentifizierung: Die Geschäftsleitung von Twilio gab an, dass die MFA für SendGrid-Konten optional sei und dass das Unternehmen plane, sie verbindlich vorzuschreiben. Ohne MFA können Angreifer Konten einfach durch Erraten oder Erlangen von Passwörtern übernehmen. Das Fehlen einer zusätzlichen Überprüfung erhöht das Risiko, dass legitime Domains wie openai.com für Phishing-Angriffe missbraucht werden.

Es ist wichtig zu betonen, dass es keine öffentliche Bestätigung dafür gibt, dass OpenAI selbst gehackt wurde. Das Vorhandensein der Domain openai.com in diesen Phishing-E-Mails bedeutet, dass die Angreifer Zugriff auf einige SendGrid-Anmeldedaten hatten, die mit OpenAI in Verbindung stehen. Ob dieser Zugriff auf gestohlene Anmeldedaten, die Wiederverwendung von Passwörtern, einen Phishing-Angriff auf einen Mitarbeiter oder einen kompromittierten Drittanbieter zurückzuführen ist, bleibt unbekannt.

Der weit verbreitete Verkauf geknackter SendGrid-Konten und die Ungewissheit darüber, ob die Anmeldedaten durch Phishing erlangt wurden oder ob SendGrid selbst gehackt wurde, lassen jedoch vermuten, dass der OpenAI-Rechnungsbetrug eher auf eine Kontoübernahme als auf einfaches Spoofing zurückzuführen ist. Unternehmen, die SendGrid nutzen, sollten diesen Vorfall als Warnung betrachten und MFA einführen, API-Schlüssel regelmäßig rotieren und ungewöhnliche Versandmuster überwachen.

Header-Analyse der OpenAI-Rechnungs-E-Mail

Die bösartige E-Mail wurde von [email protected] über SendGrid versendet. Die Analyse der Kopfzeilen ergab, dass die E-Mail mehrere Sprünge durch die E-Mail-Infrastruktur von Microsoft durchlaufen hatte, bevor sie den Empfänger erreichte. Zu den wichtigsten Beobachtungen zählen:

Authentifizierungsergebnisse: Die Nachricht hat die SPF-, DKIM- und DMARC-Prüfungen bestanden, da tm.openai.com die IP-Adresse von SendGrid (159.183.120.121) autorisiert hat. Angreifer nutzen kompromittierte SendGrid-Konten, um eine solche Übereinstimmung sicherzustellen.
Empfangene Header: Ein Hop lautet „Received: from MjAyMTY3MDY (unknown) by geopod-ismtpd-15 (SG) with HTTP id …“, was darauf hinweist, dass die Nachricht von den geopod-ismtpd-Servern von SendGrid generiert wurde. Das Vorhandensein von „geopod‑ismtpd” und „(unbekannt)” in den Empfangs-Headern ist ein häufiger Indikator dafür, dass die E-Mail von SendGrid stammt.
X-SG-Felder: Die Nachricht enthält die Header X-SG-EID und X-SG-ID, die für SendGrid einzigartig sind. Diese zeigen, dass die Nachricht über die API von SendGrid und nicht über einen persönlichen E-Mail-Client gesendet wurde.
Betreff und Text: Der Betreff lautete „Abonnementgebühr bestätigt: 763,99 $“ und der Text enthielt eine einzige Handlungsaufforderung: „Support +1 (701) 638-0848“. Es waren keine Links enthalten, sodass URL-Filter keine bösartigen Domains identifizieren konnten. Der Text verwendete das OpenAI-Branding und dringliche Formulierungen, um ein Gefühl der Panik und Legitimität zu erzeugen.

Die Kombination aus SendGrid-Zustellbarkeit, kryptografischer Angleichung und Markenimitation macht es für herkömmliche E-Mail-Sicherheitsgateways schwierig, solche E-Mails zu blockieren.

Abb. 2: Analyse des E-Mail-Headers der Phishing-E-Mail

Angriffskette: Callback-Phishing/Vishing

Callback-Phishing, auch bekannt als TOAD (Telephone-Oriented Attack Delivery), ist eine Betrugsmasche, die mit einer gefälschten Rechnung oder einem gefälschten Abonnementbescheid beginnt. Diese E-Mails geben oft vor, von bekannten Unternehmen zu stammen, und enthalten eine Telefonnummer, die man anrufen soll, wenn die Belastung nicht autorisiert ist. Das Ziel ist, dass das Opfer die Nummer anruft, anstatt auf einen Link zu klicken. Am Telefon gibt sich der Angreifer als Kundendienstmitarbeiter aus, fordert persönliche Informationen an oder weist das Opfer an,support zu installieren. Da diese Nachrichten keine bösartigen Links oder Anhänge enthalten, können sie herkömmliche E-Mail-Filter umgehen.

Callback-Betrug setzt auf Dringlichkeit: In der E-Mail wird der Empfänger aufgefordert, anzurufen, um eine hohe Gebühr zu stornieren, und der Betrüger fragt dann nach persönlichen Daten oder Fernzugriff. Callback-Phishing verleitet users eine angegebene Nummer anzurufen. Der Betrüger nutzt dann Social Engineering, um Anmeldedaten, Finanzdaten oder Fernzugriff zu erhalten. Die Methode unterscheidet sich vom herkömmlichen Phishing, da die Konversation in ein Telefongespräch übergeht, wodurch es für Sicherheitstools schwieriger wird, sie zu überwachen.

Abb. 3: Callback-Phishing-Nachricht

Schrittweise Kette im Fall der OpenAI-Rechnung

Erste E-Mail: Das Opfer erhält über SendGrid eine Nachricht im Stil einer Rechnung von [email protected]. Darin wird behauptet, dass eine hohe Gebühr (763,99 $) verarbeitet wurde, und eine support angegeben, die man anrufen soll. Da die Nachricht SPF, DKIM und DMARC passiert, wirkt sie authentisch und umgeht E-Mail-Filter.
Telefonanruf: Da das Opfer glaubt, dass die Gebühr echt ist, ruft es die support an. Ein Betrüger, der sich als Vertreter von OpenAI ausgibt, nimmt den Anruf entgegen. Er fragt möglicherweise nach dem Namen, der E-Mail-Adresse oder anderen identifizierenden Angaben des Opfers, um „das Konto zu überprüfen“.
Fernunterstützung: Der Betrüger behauptet, dass er die Belastung rückgängig machen oder eine Rückerstattung vornehmen muss, und weist das Opfer an, support zu installieren, die ihm Zugriff auf das Gerät des Opfers gewährt.
Kompromiss: Mit Fernzugriff kann der Angreifer sensible Daten (Bankdaten, persönliche Identifikationsnummern) sammeln oder das Opfer durch gefälschte Rückerstattungsprozesse führen, die zu echten finanziellen Verlusten führen. Frühe Kampagnen nutzten diese Technik, um Malware zu installieren, Fernzugriff zu gewähren und manchmal zu Ransomware-Angriffen zu führen. Angreifer können das Opfer auch anweisen, sich bei seiner Bank anzumelden, um Geldmittel zu „überprüfen”, und dann heimlich Geld zu überweisen.
Maßnahmen nach dem Kompromittieren: Angreifer können auf dem Computer des Opfers verbleiben, zusätzliche Malware installieren, Daten stehlen oder auf andere Systeme übergreifen. Da das Opfer den Anruf initiiert hat, bleibt ihm möglicherweise unbekannt, dass etwas Bösartiges passiert ist.

Folgen von Callback-Phishing

Callback-Phishing kann schwerwiegende Folgen haben. Sobald der Fernzugriff gewährt ist, können Angreifer Folgendes durchführen:

Identitätsdiebstahl und Finanzbetrug:support können Kriminelle Bankdaten einsehen und stehlen, Überweisungen veranlassen oder Kredite beantragen. Netcraft stellt fest, dass Kriminelle kompromittierte SendGrid-Konten genutzt haben, um Phishing-Angriffe unter dem Deckmantel verschiedener Unternehmen durchzuführen, was das Ausmaß solcher Missbräuche verdeutlicht. Sobald der Fernzugriff hergestellt ist, können Angreifer das Finanz-Dashboard des Opfers manipulieren und Daten exfiltrieren.
Malware-Installation und Ransomware: Die Opfer werden dazu verleitet, Fernzugriffstrojaner herunterzuladen, die später zum Einsatz von Ransomware verwendet werden. Angreifer können auch Keylogger oder andere Spyware installieren.
Netzwerkkompromittierung und laterale Bewegung: Mit Zugriff auf einen Endpunkt können Kriminelle sich lateral innerhalb einer Organisation bewegen, Geschäftsdaten stehlen oder weitere Phishing-E-Mails versenden (laterales Phishing).

Bewährte Verfahren und Empfehlungen

Um das Risiko von Callback-Phishing-Betrug durch Missbrauch von SendGrid zu mindern:

Überprüfen Sie dies über offizielle Kanäle: Rufen Sie keine Telefonnummern an, die in unaufgeforderten E-Mails angegeben sind. Wenn Sie eine Rechnung oder eine Abonnementmitteilung erhalten, die Ihnen verdächtig erscheint, wenden Sie sich direkt an das Unternehmen unter einer Nummer, die Sie auf der offiziellen Website oder in Ihrem Kundenportal finden.
Gewähren Sie unbekannten Anrufern niemals Fernzugriff: Seriöse Unternehmen werden Sie nicht um Fernzugriff bitten, um Rückerstattungen vorzunehmen oder Abonnements zu kündigen. Installieren Sie niemalssupport , es sei denn, Sie haben eine support bei einem vertrauenswürdigen Anbieter gestellt.
users schulen: Schulen Sie Ihre Mitarbeiter darin, Rechnungsbetrug zu erkennen.
Melden und isolieren: Wenn Sie einen Rückruf-Phishing-Versuch vermuten, melden Sie die E-Mail Ihrem Sicherheitsteam und isolieren Sie alle Geräte, auf denensupport installiert ist. Überwachen Sie Ihre Konten auf unbefugte Transaktionen und ändern Sie Ihre Passwörter.
Sichere SendGrid-Konten: Unternehmen, die SendGrid nutzen, sollten die Multi-Faktor-Authentifizierung aktivieren, die Versandaktivitäten überwachen und kompromittierte API-Schlüssel widerrufen. Netcraft warnt davor, dass Kriminelle kompromittierte SendGrid-Konten nutzen, um authentifizierte Phishing-E-Mails zu versenden.

Abschließende Überlegungen

Der OpenAI-Rechnungsbetrug zeigt, wie Angreifer legitime Cloud-E-Mail-Dienste und sprachbasiertes Social Engineering nutzen, um Sicherheitskontrollen zu umgehen. Durch das Versenden einer E-Mail mit Rechnungsinhalt über SendGrid stellten die Kriminellen sicher, dass die Nachricht die SPF/DKIM/DMARC-Prüfungen passierte und vertrauenswürdig erschien. Da die E-Mail keine bösartigen Links enthielt, konnte sie URL-Filter umgehen, während die dringende Aufforderung zum Handeln den Empfänger dazu veranlasste, einen Betrüger zu kontaktieren, der dann Fernzugriff anforderte.

Callback-Phishing ist Teil eines breiteren Trends, bei dem Angreifer vertrauenswürdige Plattformen undsupport als Waffen einsetzen. Fortschrittliche E-Mail-Sicherheit, Wachsamkeit, user und strenge Überprüfungen durch offizielle Kanäle bleiben die wirksamsten Abwehrmaßnahmen gegen diese sich weiterentwickelnde Bedrohung.