Das Anmeldefenster war kein Fenster. Die Seite hatte es gezeichnet.
Schauen Sie auf die Adressleiste. Das ist der Rat, den alle gegen Phishing geben, und in der von Proofpoint am 1. Oktober veröffentlichten Kampagne hätte er nichts genützt, denn das Fenster, das nach dem Passwort fragte, war überhaupt kein Fenster. Es war ein Bild davon, auf die Seite gezeichnet wie jedes andere Kästchen.
Die Gruppe heißt TA419, gilt als China-nah, und im Visier standen Fachleute für KI-Politik in amerikanischen Thinktanks, Universitäten und Kanzleien. Der Kontakt begann am 8. Juli mit einer E-Mail ohne Link und ohne Anhang, nur eine höfliche Nachricht von jemandem, der aussah wie Lynne Parker, bis vor Kurzem eine führende Figur im Büro für Wissenschafts- und Technologiepolitik des Weißen Hauses, mit der Einladung in einen Beratungsausschuss. Erst nach einer Antwort kam ein Kurzlink. Er durchlief eine Cloudflare-Prüfung, landete auf einer Seite im Gewand eines OneDrive-Ordners samt überzeugender Dokumente und öffnete etwas, das aussah wie ein darüber schwebendes Microsoft-Anmeldefenster. Das Werkzeug, das dieses Fenster malt, ist quelloffen und heißt Frameless BitB, kurz für browser-in-the-browser.
Hinter dem falschen Fenster saß ein Relais. Alles Eingetippte ging an die echten Microsoft-Server weiter, also wurde das Passwort akzeptiert, die Mehrfaktor-Abfrage wurde akzeptiert, und die Anmeldung gelang tatsächlich. Was der Angreifer behielt, war das Sitzungs-Cookie, also genau der Teil, der Sie danach ohne Passwort angemeldet hält. Ein eigenes Skript im Kit setzte stellvertretend das Häkchen bei "Angemeldet bleiben" und schickte den Einmalcode ab, sobald er gültig war.
Eine einzige Gewohnheit schlägt das alles: Melden Sie sich nie über einen Link an, den Ihnen jemand geschickt hat. Neuen Tab öffnen, Adresse selbst tippen, dann gehört das Fenster dem Browser und nicht der Seite. Passkeys helfen ebenfalls, weil sie auf der falschen Domain schlicht nicht funktionieren. Für den Rest der Grundlagen, Verschlüsselung, Windows Update, was tatsächlich eingeschaltet ist, bringt der Gesundheitswert von Tendvane alles auf einen Bildschirm.