Sicherheitsforscher von Proofpoint haben eine neue Phishing-Kampagne entdeckt, die sich offenbar gezielt an deutsche Metro-Kunden richtet. Die als TA547 bekannten Angreifer gehören zu einer Gruppe von Cyberkriminellen, die als Initial Access Broker (IAB) agieren. Diese Gruppe ist darauf spezialisiert, sich Zugang zu fremden IT-Systemen zu verschaffen und diese dann an andere Bedrohungsakteure zu verkaufen.
Laut einem Blog-Beitrag der Forscher von Proofpoint verbreitet TA547 im Namen des deutschen Großhandelsunternehmens Metro AG gefälschte Rechnungsdokumente über Phishing-E-Mails an deutsche Unternehmen aus verschiedenen Branchen. Statt einer echten Rechnung erhalten die Empfänger jedoch den Infostealer Rhadamanthys, eine Malware, die auch von anderen Cyberkriminellen verbreitet wird.
Die vermeintliche Rechnung wird in Form einer Zip-Datei präsentiert und ist mit einem Passwort geschützt, das in der deutschsprachigen Phishing-E-Mail genannt wird. Beim Öffnen des Archivs findet sich eine LNK-Datei, die bei Ausführung eine Infektionskette startet und das System der Zielperson mit der genannten Malware infiziert.
Eine bemerkenswerte Besonderheit, auf die die Forscher hinweisen, ist ein Powershell-Skript, das im Rahmen der Infektion verwendet wird. Laut Proofpoint weist dieses Skript Code-Merkmale auf, die für Cyberkriminelle ungewöhnlich sind. Das Forscherteam nennt beispielsweise ein Pfund-Zeichen sowie grammatikalisch korrekte und sehr spezifische Kommentare. Proofpoint erklärte gegenüber Bleeping Computer, dass fast jede Zeile des Skripts mit einem Kommentar versehen sei.
Aufgrund dieser Merkmale gehen die Forscher davon aus, dass TA547 entweder ein KI-Tool wie ChatGPT, Gemini oder Copilot verwendet hat, um das Powershell-Skript zu erstellen, oder den Code aus einer anderen Quelle kopiert hat.
Die Nutzung künstlicher Intelligenz durch Cyberkriminelle für böswillige Zwecke ist keine neue Entwicklung. In der Vergangenheit
