Malte ZanderInhalt
Ein Phishing-Kit ist ein fertiges Paket, das jeden Webserver in eine Kopie der Login- oder Zahlungsseite einer Marke verwandelt, samt dem Code, der gestohlene Daten an die Täter weitergibt. Phishing-as-a-Service-Plattformen vermieten solche Kits im Abo, mit Hosting und Echtzeit-Werkzeugen. Kits lassen Phishing skalieren, hinterlassen aber auch wiederkehrende Spuren, die viele Fake-Seiten mit einem Täter verbinden und Takedowns beschleunigen.
- LabHost, im April 2024 von der Polizei zerschlagen, bot eine Auswahl von mehr als 170 gefälschten Website-Vorlagen an (The Record).
- Ermittler brachten mindestens 40.000 Phishing-Domains und rund 10.000 Nutzer mit LabHost in Verbindung. Die Nutzer erbeuteten etwa 480.000 Kartennummern, 64.000 PINs und eine Million Passwörter (BleepingComputer).
- Microsoft führte Adversary-in-the-Middle-Kampagnen gegen mehr als 10.000 Organisationen auf das Open-Source-Kit Evilginx2 zurück (Microsoft).
Was ist ein Phishing-Kit?
Ein Bündel von Dateien, das die Seite einer Marke nachbaut und alles einsammelt, was Opfer eintippen. Die Täter laden das Kit auf einen gemieteten Server oder eine gehackte Website, lassen eine Domain darauf zeigen und verschicken den Link.
Das Kit ist der Grund, warum dieselbe Fälschung auf Dutzenden Domains auftaucht: Die Seite muss nur einmal gebaut werden.
Was steckt in einem Phishing-Kit?
| Bestandteil | Was er tut |
|---|---|
| Seitenvorlagen | Kopien der Login-, Zahlungs- oder Prüfseiten einer Marke, mit Logos, Styles und Texten |
| Formularverarbeitung | Nimmt Zugangsdaten, Einmalcodes oder Kartendaten entgegen |
| Datenweitergabe | Leitet die gestohlenen Daten weiter, an eine E-Mail-Adresse, einen Messenger-Bot oder ein Admin-Panel |
| Tarnung | Sperrt Sicherheitsscanner und bestimmte Länder aus oder zeigt die Fälschung nur mit dem richtigen Link |
| Admin-Panel | Listet erbeutete Daten auf, teils in Echtzeit |
| Echtzeit-Modul | Fragt das Opfer nach einem Einmalcode, während die Täter sich damit anmelden |
Das Echtzeit-Modul hebelt Einmalcodes aus. Lesen Sie Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt.
Wie funktioniert Phishing-as-a-Service?
Wie jedes Software-Abo. Die Plattform liefert Vorlagen, Hosting, Werkzeuge zum Versand der Köder und ein Dashboard, die Kundschaft zahlt monatlich.
LabHost zeigt das Modell. Der Dienst kostete im Schnitt 249 US-Dollar im Monat, lief offen im Netz und bot ein Kampagnenwerkzeug namens LabRat, mit dem Täter Angriffe live beobachten und steuern sowie Zwei-Faktor-Codes abfangen konnten (BleepingComputer, The Record). Polizeibehörden aus 19 Ländern durchsuchten im April 2024 70 Adressen und nahmen 37 Verdächtige fest.
Die Folge für Marken: Die Hürde für einen Angriff sinkt auf eine Abogebühr, und KI-Werkzeuge senken sie weiter. Siehe KI-Phishing-Seiten.
Warum sind Kits für Markeninhaber wichtig?
Eine Vorlage, viele Domains. Ein einzelner Takedown beendet die Kampagne selten.
Kits ziehen nach. Wenn Sie Ihre Login-Seite neu gestalten, folgen die Kits.
Echtzeit-Kits hebeln Einmalcodes aus, der Schutz verlagert sich damit auf phishingresistente Anmeldeverfahren.
Welche Spuren hinterlassen Phishing-Kits?
Immer wieder dieselben, weil Täter wiederverwenden, was funktioniert:
Identische Dateien und Strukturen: dieselben Dateinamen, Pfade und derselbe Seitencode auf vielen Seiten.
Liegengebliebene Archive und offene Verzeichnisse auf dem Server, wo das Kit entpackt wurde.
Gemeinsame Infrastruktur: derselbe Hoster, dieselben IP-Bereiche, Nameserver oder Zertifikate.
Ihre eigenen Dateien: Manche Kits laden noch Bilder oder Skripte von Ihren Servern.
Dasselbe Datenziel: viele Seiten, die gestohlene Daten an dieselbe Stelle schicken.
Dieselben Köder: identische Mailvorlagen, Linkverkürzer oder QR-Code-Designs.
Wie nutzen Sie Kit-Spuren gegen eine Kampagne?
Fälle verknüpfen. Gruppieren Sie Fake-Seiten nach gemeinsamen Spuren, statt jede einzeln zu behandeln. Unser Leitfaden zum Verknüpfen von Fällen zeigt, wie.
Die Kampagne melden, nicht die einzelne Seite. Nennen Sie in Ihren Meldungen alle zusammenhängenden URLs. Nach dem ICANN-Leitfaden sollen Registrare auch Informationen prüfen, auf die sie zugreifen können, etwa Nameserver, Kontodaten und die gemeldete Seite (ICANN). So können verwandte Domains eines Kontos gemeinsam fallen.
Dokumentieren, was Sie sehen. Halten Sie liegengebliebene Archive und offene Verzeichnisse in Ihren Beweisen fest und überlassen Sie die Analyse der Dateien Sicherheitsfachleuten.
Neue Ableger beobachten, die dieselbe Vorlage auf neuen Domains nutzen. Siehe wenn eine Fake-Website wieder auftaucht.
Kann die Polizei Phishing-Plattformen stoppen?
Manchmal, und das hilft. Der Einsatz gegen LabHost legte Plattform und Infrastruktur still. Allein die australische Polizei entfernte 207 Server mit LabHost-Seiten (BleepingComputer).
Neue Plattformen füllen jedoch die Lücke, und bereits verkaufte Kits funktionieren weiter. Für Marken bleiben Takedowns einzelner Seiten die tägliche Arbeit.
Starten Sie den kostenlosen Fraud-Scan und erhalten Sie innerhalb von 48 Stunden einen Kurzreport zu Lookalike-Domains und nachgebauten Seiten.
Häufige Fragen
Was unterscheidet ein Phishing-Kit von Phishing-as-a-Service?
Ein Phishing-Kit ist die Software. Phishing-as-a-Service vermietet das Kit zusammen mit Hosting, Versandwerkzeugen, Dashboard und Updates, meist als Monatsabo.
Ist die Nutzung eines Phishing-Kits strafbar?
Wer damit Zugangsdaten anderer abgreift, begeht praktisch überall Betrug. Verkauf und Hosting von Kits sind in der Regel ebenfalls strafbar. Dies ist keine Rechtsberatung.
Lässt sich ein Phishing-Kit erkennen, bevor es online geht?
Manchmal. Neue Lookalike-Domains, frische Zertifikate und Testinstallationen, die Ihre Dateien laden, können auftauchen, bevor der erste Köder verschickt wird.
Warum taucht dieselbe Fake-Seite immer wieder auf?
Weil ein Kit in Minuten auf einer neuen Domain installiert ist. Wer abgeschlossene Fälle beobachtet und verwandte Domains gemeinsam meldet, durchbricht diesen Kreislauf.
Quellen
The Record: LabHost in weltweiter Aktion abgeschaltet, 18. April 2024
BleepingComputer: LabHost zerschlagen, 18. April 2024
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022
ICANN-Leitfaden zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024