Wie Cyberbetrüger Google-Formulare nutzen

Autor: Tom Wannenmacher

Information
Information

Phishing und Schadsoftware ebnen oft den Weg für Ransomware oder Datendiebstahl. Die aktuellste Analyse der SophosLabs zeigt, wie die Betrüger Google Forms für ihre Zwecke nutzen.

Sophos hat unter dem Titel: „Phishing and Malware Actors Abuse Google Forms for Credentials, Data Exfiltration“ einen neuen Analysereport veröffentlicht, der sich mit der missbräuchlichen Nutzung von Google Forms durch Cyberkriminelle beschäftigt.

 „Das Ausmaß, mit dem Angreifer Google Forms für sich verwenden, kam ans Licht, als wir untersuchten, wie Schadsoftware die Verschlüsselung missbraucht, um Aktivitäten und Kommunikation zu verschleiern“, erklärt Sean Gallagher, Senior Threat Researcher bei Sophos.

„Google Forms macht es Cyberkriminellen dabei besonders leicht: die Formulare sind einfach umzusetzen und vertrauenswürdig, sowohl für die Organisation als auch für den Konsumenten. Der Datenstrom zu und vom Service ist durch Transport Layer Security (TLS)-Verschlüsselung geschützt, sodass er sich nicht so einfach von den Verteidigern inspizieren lässt. Das ganze Set-up beinhaltet also im Wesentlichen eine kostenlose Angriffsinfrastruktur.“

Die Analyse zeigt, dass der häufigste Missbrauch von Google Forms in den Bereichen Phishing und Betrug stattfindet, was eher wenig Qualifikation erfordert.

Zunehmend lassen sich aber Anzeichen beobachten, dass Angreifer die Plattform für komplexere Attacken nutzen. In den Beispielen setzten die Kriminellen Google Forms für Datenexfiltration und Schadsoftware Command-and-Control ein.

Sieben Arten der kriminellen Nutzung von Google Forms fielen den Sophos-Analysten besonders ins Auge:

 1. Phishing: Google warnt Nutzer auf jeder Seite von Forms, keine Passwort-Details preiszugeben. Dennoch fanden die Sophos-Experten verschiedene Beispiele, bei denen Angreifer potenzielle Opfer dazu bringen wollten, ihre persönlichen Zugangsdaten in ein gefälschtes Google Formular einzutragen. Diese sind oft verbunden mit schadhaften Spam-Kampagnen.

2. Schadhafte Spam-Kampagnen: Eine der größten Quellen für diese Phishing-Links im Spam waren „Abmeldelinks“ in betrügerischen Marketing-E-Mails. Sophos fing eine Reihe dieser Phishing-Kampagnen ab, die es auf Microsoft-Online-Konten, inklusive Office365, abgesehen hatten. In den Spams hieß es, dass die E-Mail-Konten des Empfängers geschlossen werden, wenn er diese nicht sofort verifiziert. Dabei wurde ein gefälschter Link mitgeschickt, der zwar mit Microsoft-Grafiken versehen war, aber bei dem es sich ganz eindeutig nicht um ein echtes Google-Formular handelte.

3. Diebstahl von Zahlungskarten: Betrüger auf Anfängerniveau verwenden vorgefertigte Google-Forms-Entwurfsvorlagen gerne, um Daten aus Kartenbezahlungen mithilfe von gefälschten und scheinbar sicheren E-Commerce-Seiten zu stehlen.

4. PUAs (Potentially Unwanted Applications), wie zum Beispiel Werbesoftware: Besonders Windows-Nutzer sind oft davon betroffen. Diese Anwendungen gebrauchen Google-Forms-Seiten heimlich, während die Web-Anfragen gesammelt und automatisch an die Formulare weitergeleitet werden – eine Nutzer-Interaktion ist nicht nötig.

5. Gefälschte Nutzeroberfläche für schädliche Android-Apps: Sophos entdeckte einige schadhafte Android-Anwendungen, die Google Forms dazu verwenden, Daten zu erfassen ohne eine Backend-Webseiten programmieren zu müssen. Die meisten dieser Apps waren Werbesoftware oder PUAs, so auch SnapTube, eine Video-App, die Entwicklern Einnahmen via Werbebetrug generieren und die eine Google-Formular-Seite für Bewertungen beinhaltet.

6. Datenlöschung: Die Analysten spürten eine Anzahl von noch raffinierteren Bedrohungen auf, die Google Forms für sich nutzen. Dazu gehören beispielsweise schadhafte Windows-Anwendungen, die Web-Anfragen an Google Forms einsetzen, um gestohlene Computerdaten in eine Google-Tabelle zu „schieben“.

7. Teil einer größeren, bösartigen Cyberangriff-Infrastruktur: Sophos hat eine Nummer von PowerShell-Skripten entdeckt, die mit Google Forms interagieren. Die Experten waren dann in der Lage nachzustellen, wie ein PowerShell-Skript dazu verwendet werden kann, Windows Profildaten von einem PC einzusammeln und automatisch in ein Google-Formular einzufügen.

Sean Gallagher empfiehlt außerdem: „Google schließt häufig Konten, die mit einem massenhaften Missbrauch von Anwendungen in Verbindung stehen, inklusive Google Forms. Eine seltenere aber gezielte Nutzung von Google Forms durch Schadsoftware könnte allerdings unentdeckt bleiben. Anwender sollten deshalb hellhörig werden, wenn sie Links auf Google-Formulare oder andere scheinbar legitime Links zur Berechtigungsfreigabe entdecken und dabei nicht blind TLS-Traffic zu scheinbar bekannten Domains, wie doc.google.com, vertrauen.“

Unterstützen 🤍

FAKE NEWS BEKÄMPFEN

Unterstützen Sie Mimikama, um gemeinsam gegen Fake News vorzugehen und die Demokratie zu stärken. Helfen Sie mit, Fake News zu stoppen!

Mit Deiner Unterstützung via PayPal, Banküberweisung, Steady oder Patreon ermöglichst Du es uns, Falschmeldungen zu entlarven und klare Fakten zu präsentieren. Jeder Beitrag, groß oder klein, macht einen Unterschied. Vielen Dank für Deine Hilfe! ❤️

Mimikama-Webshop

Unser Ziel bei Mimikama ist einfach: Wir kämpfen mit Humor und Scharfsinn gegen Desinformation und Verschwörungstheorien.

Abonniere unseren WhatsApp-Kanal per Link- oder QR-Scan! Aktiviere die kleine 🔔 und erhalte eine aktuelle News-Übersicht sowie spannende Faktenchecks.

Link: Mimikamas WhatsApp-Kanal

Mimikama WhatsApp-Kanal

Hinweise: 1) Dieser Inhalt gibt den Stand der Dinge wieder, der zum Zeitpunkt der Veröffentlichung aktuell
war. Die Wiedergabe einzelner Bilder, Screenshots, Einbettungen oder Videosequenzen dient zur
Auseinandersetzung der Sache mit dem Thema.


2) Einzelne Beiträge (keine Faktenchecks) entstanden durch den Einsatz von maschineller Hilfe und
wurde vor der Publikation gewissenhaft von der Mimikama-Redaktion kontrolliert. (Begründung)


Mit deiner Hilfe unterstützt du eine der wichtigsten unabhängigen Informationsquellen zum Thema Fake News und Verbraucherschutz im deutschsprachigen Raum

INSERT_STEADY_CHECKOUT_HERE

Kämpfe mit uns für ein echtes, faktenbasiertes Internet! Besorgt über Falschmeldungen? Unterstütze Mimikama und hilf uns, Qualität und Vertrauen im digitalen Raum zu fördern. Dein Beitrag, egal in welcher Höhe, hilft uns, weiterhin für eine wahrheitsgetreue Online-Welt zu arbeiten. Unterstütze jetzt und mach einen echten Unterschied! Werde auch Du ein jetzt ein Botschafter von Mimikama

Mehr von Mimikama

Mimikama Workshops & Vorträge: Stark gegen Fake News!

Mit unseren Workshops erleben Sie ein Feuerwerk an Impulsen mit echtem Mehrwert in Medienkompetenz, lernen Fake News und deren Manipulation zu erkennen, schützen sich vor Falschmeldungen und deren Auswirkungen und fördern dabei einen informierten, kritischen und transparenten Umgang mit Informationen.