Zoom-Phishing-Kampagne: Wie Angreifer SSA-Warnmeldungen fälschen und ConnectWise ScreenConnect missbrauchen

Heutige Phishing-Angriffe nutzen zunehmend vertrauenswürdige SaaS-Plattformen, bekannte Tools für die Zusammenarbeit und legitime IT-Software aus, um sich in aller Öffentlichkeit zu tarnen. Indem sie sich in alltägliche Geschäftsabläufe einfügen und Dienste nutzen, denen die Nutzer bereits vertrauen, erschweren Angreifer die Erkennung, umgehen grundlegende Sicherheitskontrollen und erhöhen die Erfolgswahrscheinlichkeit erheblich. Der folgende Vorfall ist ein Beispiel dafür, wie dieser „Living-off-the-Land“-Ansatz genutzt wird, um äußerst überzeugende Phishing-Kampagnen in großem Umfang durchzuführen.

Im Juni 2025 beobachtete „ INKY “ eine Phishing-Kampagne mit Kettenbriefcharakter, bei der die legitime Benachrichtigungsinfrastruktur von Zoom ausgenutzt wurde, um E-Mails zu versenden, die Links zu einem Zoom-Dokument (docs.zoom.us) enthielten, über das ein schädlicher Download bereitgestellt wurde. Die Kampagne richtete sich an Leistungsempfänger der US-Sozialversicherungsbehörde (SSA), indem sie sich als SSA-Benachrichtigungen ausgab und das Vertrauen ausnutzte, das mit Zoom-Kommunikation verbunden ist.

Schützen Sie sich mit Kaseya Inky vor bösartigen E-Mails

Verhindern Sie ausgefeilte Phishing-Angriffe und E-Mail-basierte Bedrohungen, bevor sie die Nutzer erreichen – mit INKY

Erste Schritte

Nachdem die Empfänger auf den Link im Zoom-Dokument geklickt hatten, wurden sie aufgefordert, eine sogenannte„SSA Desktop App“ herunterzuladen, bei der es sich tatsächlich um einen umbenannten Fernzugriffs-Client namens ConnectWise ScreenConnect (ehemals ConnectWise Control) handelte. Dieser Angriff verdeutlicht, wie Angreifer legitime SaaS-Plattformen (Zoom) und Fernsupport-Tools (ScreenConnect) als „Living-off-the-Land“-Malware missbrauchen.

The email was sent from “SSA Notify <noreply‑zoomevents@zoom.us>” with the subject line “SSA Alert.” It passed SPF, DKIM and DMARC checks because it was delivered via Zoom’s Events infrastructure, allowing it to bypass unsophisticated email filters. The body of the email included the heading “Earnings Record Review Required” and warned the recipient of a potential discrepancy in their 2025 earnings record. It instructed the recipient to use a desktop or laptop, download a “secure SSA Desktop App” and sign in with SSA credentials. The call‑to‑action was a “VIEW FILE” button linking to a Zoom document hosted at docs.zoom.us. The message was designed to create urgency and used official SSA branding, making the phishing message appear legitimate.

Abbildung 1: Eine Phishing-E-Mail, die einer Zoom-Benachrichtigung ähnelt

Missbrauch von Zoom Docs zum Einbinden bösartiger Links

Die Funktion zur gemeinsamen Nutzung von Dokumenten in Zoom wurde unbeabsichtigt zu einem Verbreitungsweg, über den eine Phishing-Nutzlast von einer vertrauenswürdigen Domain aus versendet werden und grundlegende E-Mail-Sicherheitskontrollen umgehen konnte.

Wie Zoom missbraucht wurde

Zoom bietet Funktionen wie „Zoom Events“ und „Zoom Docs“ an. Wenn ein Nutzer ein Zoom-Dokument freigibt, versendet Zoom eine Benachrichtigungs-E-Mail von seiner eigenen Domain. Angreifer nutzten diesen Mechanismus aus, indem sie ein Zoom-Dokument mit der Phishing-Nachricht erstellten und es an ihre Ziele weiterleiteten. Da die E-Mail von noreply**‑**zoomevents@zoom.usstammte, war sie kryptografisch signiert (SPF/DKIM/DMARC), wodurch sie viele E-Mail-Sicherheitsprüfungen umgehen und legitim erscheinen konnte.

Die Phishing-E-Mail enthielt einen ersten Link zu docs.zoom.us/doc/

Dieses über Zoom bereitgestellte Dokument diente als erste Stufe des Angriffs. Es trug das SSA-Logo und behauptete, der mobile Zugriff sei eingeschränkt; der Nutzer müsse einen Desktop-Computer verwenden und eine „sichere SSA-Desktop-App“ herunterladen (siehe die beigefügten Screenshots). Das Zoom-Dokument ahmte eine offizielle Mitteilung nach und enthielt Aufzählungspunkte zur Überprüfung des jüngsten beruflichen Werdegangs und der Steuerzahlungen. Anschließend wurde der Nutzer angewiesen:

1. Verwenden Sie einen Desktop-PC oder einen Laptop.
2. Laden Sie die sichere SSA-Desktop-App über den angegebenen Link herunter.
3. Melden Sie sich mit Ihren SSA-Zugangsdaten an.

Ein blauer Hyperlink mit der Bezeichnung „Download Desktop App Now“ verwies auf eine externe Domain (lawsmith.com/redir2), die in keiner Verbindung zur SSA steht. Das Zoom-Dokument diente somit als Sprungbrett, um das Opfer von einer vertrauenswürdigen Zoom-Domain auf eine bösartige Website umzuleiten, auf der die Malware gehostet wurde.

Abbildung 2: Erste Hälfte des Zoom-Phishing-Dokuments

Abbildung 3: Zweite Hälfte des Zoom-Phishing-Dokuments mit dem Link zur externen Domain

Dieser Angriff war erfolgreich, da er die legitime Infrastruktur von Zoom ausnutzte und Phishing-E-Mails von„noreply-zoomevents@zoom.us“ mit authentifizierten Kopfzeilen versendete. Die Opfer wurden dazu verleitet, auf einen Link zu einem Zoom-Dokument zu klicken, dem viele Nutzer und einfache URL-Filter vertrauen. Das Zoom-Dokument leitete die Nutzer anschließend zu einem zweiten bösartigen Link weiter, was eine „ChainLink“-Phishing-Technik veranschaulicht.

Das Dokument verwies die Nutzer auf eine ausführbare Datei namens „Document‑needs_Signing‑PDF.ClientSetup.exe“, die von VirusTotal als ein als SSA-Anwendung getarntes Fernzugriffstool von ConnectWise identifiziert wurde.

Abbildung 4: Ergebnisse von VirusTotal

So funktioniert die „ConnectWise ScreenConnect“-Trojaner-Methode

Um die Angriffskette zu vervollständigen, ging die Phishing-Kampagne vom Social Engineering zum Fernzugriff über, indem sie ein weit verbreitetes IT-Support-Tool missbrauchte, dem in Unternehmensumgebungen allgemein vertraut wird.

Legitimes Tool, das als Malware missbraucht wird

ConnectWise ScreenConnect (ehemals ConnectWise Control) ist ein Tool zur Fernüberwachung und -verwaltung (RMM), das von IT-Supportteams zur Fernsteuerung von Endgeräten eingesetzt wird. ScreenConnect gewährt Technikern die vollständige Kontrolle über den Computer eines Benutzers. Deshalb kann eine unbefugte Installation gefährlich sein, da Angreifer Skripte ausführen, Dateien übertragen oder zusätzliche Malware installieren können, ohne dass das Opfer dies bemerkt. Bei Phishing-Kampagnen verleiten Angreifer ihre Opfer häufig dazu, einen umbenannten ScreenConnect-Client herunterzuladen, der als Rechnung oder – wie in diesem Fall – als SSA-Dokument getarnt ist. Nach der Installation kann der Angreifer eine Verbindung zum Gerät des Opfers herstellen und sensible Informationen wie Bankdaten und persönliche Identifikationsnummern abgreifen.

In dem Sicherheitsbulletin von Broadcom wurde ein starker Anstieg der böswilligen Nutzung von ConnectWise-RMM-Tools durch Ransomware-Betreiber und andere Akteure der Cyberkriminalität festgestellt; Angreifer verbreiten E-Mail-Anhänge oder bösartige URLs unter Verwendung von ConnectWise-Clients, die als gefälschte Geschäfts- oder Behördendokumente getarnt sind, um Cyberkriminellen Fernzugriff zu gewähren.

Da ScreenConnect legitim und signiert ist, wird es von vielen Antiviren-Engines als vertrauenswürdige Software eingestuft. Angreifer nutzen dies aus, um der Erkennung zu entgehen – eine Taktik, die oft als „Living off the Land“ bezeichnet wird. Anstatt maßgeschneiderte Malware einzusetzen, nutzen sie vertrauenswürdige Tools, um Fernsteuerung durchzuführen. Die Missbrauchung eines legitimen IT-Verwaltungstools in Kombination mit Social Engineering verschafft Angreifern den doppelten Vorteil, Vertrauen auszunutzen und Sicherheitsmaßnahmen zu umgehen.

Zusammenfassung der Angriffskette und deren Auswirkungen

1. Erste Phishing-E-Mail: Eine überzeugende Warnmeldung der SSA trifft von der Adresse „noreply‑zoomevents@zoom.us“ mit einem dringlichen Betreff ein. Die E-Mail besteht die SPF-/DKIM-/DMARC-Prüfung, enthält Zoom-Branding und umgeht so die Filter.
2. Zoom-Doc-Link: In der E-Mail wird der Nutzer dazu aufgefordert , auf „Datei anzeigen“ zu klicken, wodurch er zu einem Dokument weitergeleitet wird , das unter docs.zoom.us/doc/ gehostet wird . Da sich die URL in der Domain zoom.us befindet, wird sie von vielen Sicherheitssystemen und Nutzern als vertrauenswürdig eingestuft.
3. Gefälschtes SSA-Dokument: Das Zoom-Dokument enthält SSA-Logos und warnt den Empfänger, dass der Zugriff über Mobilgeräte eingeschränkt ist. Der Nutzer wird angewiesen, einen Desktop-Computer zu verwenden und die „sichere SSA-Desktop-App“ herunterzuladen . Diese Handlungsaufforderung führt zu einer externen Website (in diesem Falllawsmith.com/redir2 ), auf der die schädliche Datei gehostet wird. Diese Kette von Weiterleitungen (Zoom → externe Domain) wird als „ChainLink-Phishing“ bezeichnet .
4. Schädlicher Download: Über den externen Link wird automatisch eine ausführbare Datei heruntergeladen, die als PDF- oder SSA-App getarnt ist (z. B. „Document‑needs_Signing‑PDF.ClientSetup.exe“). VirusTotal stuft solche Dateien als „Trojan.ConnectWise/ScreenConnect“ ein; es handelt sich dabei im Wesentlichen um ScreenConnect-Clients, die so vorkonfiguriert sind, dass sie eine Verbindung zum Angreifer herstellen.
5. Installation und Fernsteuerung: Wenn das Opfer die Datei ausführt, wird ScreenConnect im Hintergrund installiert. Das Installationsprogramm extrahiert eine Microsoft Software Installer-Datei (.msi), signiert diese mit der Signatur der Hauptausführungsdatei und installiert ScreenConnect mithilfe von msiexec.exe. Der Client stellt anschließend über einen bestimmten Port eine Verbindung zu einer vom Angreifer kontrollierten Domäne her, wodurch der Angreifer die Fernsteuerung über das System erhält.
6. Maßnahmen nach der Kompromittierung: Über die Fernsteuerung kann der Angreifer Befehle ausführen, Dateien übertragen, zusätzliche Malware (z. B. Ransomware) installieren oder Daten stehlen. Er kann Finanzbildschirme manipulieren, um Opfer dazu zu verleiten, Geld zu überweisen. Angreifer können sich zudem über das kompromittierte E-Mail-Konto Zugang zu anderen Systemen verschaffen, um weitere Phishing-E-Mails zu versenden (laterales Phishing).

Mögliche Folgen

• Identitätsdiebstahl und Finanzbetrug: Kriminelle nutzen ScreenConnect, um sensible Daten wie Bankdaten, persönliche Identifikationsnummern und vertrauliche Dateien zu entwenden. Sie können damit betrügerische Transaktionen durchführen oder Identitätsdiebstahl begehen.
• Netzwerkkompromittierung: Sobald eine Fernzugriffsverbindung hergestellt ist, können sich Angreifer innerhalb einer Organisation lateral bewegen, zusätzliche Tools installieren, Mechanismen zur Aufrechterhaltung des Zugriffs einrichten und möglicherweise Ransomware einsetzen.

Bewährte Verfahren: Leitlinien und Empfehlungen

1. Schulen Sie die Nutzer darin, bei unaufgeforderten Einladungen zu Zoom-Veranstaltungen und SSA-Benachrichtigungen Vorsicht walten zu lassen.

2. Laden Sie keine Dateien aus unerwarteten E-Mails herunter.

3. Überprüfen Sie Einladungen zu Zoom-Veranstaltungen über andere Kanäle (direkte Kommunikation und Rückfrage beim Absender).

4. Führen Sie eine Multi-Faktor-Authentifizierung (MFA) ein und sichern Sie Zoom-Konten. Angreifer werden wahrscheinlich kompromittierte Zoom-Konten ausnutzen. Die Aktivierung der MFA auf Kollaborationsplattformen und die Überwachung auf ungewöhnliche Anmeldeaktivitäten können einen solchen Missbrauch eindämmen.

5. Anti-Malware-Tools sollten missbrauchte Fernwartungsprogramme als „Riskware“ einstufen. EDR-Lösungen (Endpoint Detection and Response) können zudem überwachen, ob „msiexec.exe“ RMM-Tools installiert.

6. Überprüfen Sie den „An“-Header. Es ist verdächtig, dass Benachrichtigungen der SSA über Zoom versendet werden.

Abschließende Gedanken

Die hier analysierte Phishing-Kampagne verdeutlicht einen ausgeklügelten Missbrauch der Lieferkette: Die Angreifer nutzten den legitimen E-Mail-Versand von Zoom aus, um Phishing-Nachrichten zu versenden, die wie offizielle Benachrichtigungen der SSA aussahen, und bösartige Links auf Zoom Docs zu hosten, um URL-Filter zu umgehen. Indem sie die Opfer dazu überredeten, einen umbenannten ConnectWise ScreenConnect-Client herunterzuladen, erlangten die Angreifer Fernzugriff auf deren Computer, ohne herkömmliche Malware einzusetzen. Die Kampagne unterstreicht, wie wichtig es ist, unerwartete Mitteilungen zu überprüfen, die Nutzung von Fernwartungstools zu überwachen und eine Multi-Faktor-Authentifizierung auf Kollaborationsplattformen zu implementieren. Da legitime Tools zunehmend von Angreifern missbraucht werden, müssen Unternehmen ihre Sicherheitsmaßnahmen aktualisieren, um den Missbrauch vertrauenswürdiger Dienste zu erkennen, und ihre Nutzer über sich weiterentwickelnde Phishing-Taktiken aufklären.