Laut Malwarebytes zielt eine neue Phishing-Betrugsmasche darauf ab, Anmeldedaten zu stehlen, indem sie Nutzer mit dem Versprechen eines kostenlosen Claude Max Abonnements auf eine gefälschte Google-Anmeldeseite lockt. Experten teilten Tipps, wie man gefälschte Seiten erkennt, die mit der Browser-im-Browser-Technik erstellt wurden.
Eine neue Phishing-Betrugsmasche, über die das Cybersicherheitsunternehmen Malwarebytes berichtet, zielt darauf ab, die Google-Kontodaten von Nutzern zu erbeuten, indem sie kostenlosen Zugang zu Anthropics Claude Max im Wert von rund 200 Dollar verspricht. Laut der Erklärung des Unternehmens lockt der Betrug Nutzer mit der Behauptung, dass anlässlich der 100 Millionen Nutzer von Anthropic 10.000 Personen ein einmonatiges kostenloses Claude Max Abonnement erhalten.
Die gefälschte Kampagne gibt vor, Privilegien wie "erweitertes Denken" und "priorisierter Zugang zu Sonnet mit Opus, unbegrenzte Nutzung" anzubieten. Laut Malwarebytes ist dieses Angebot jedoch völlig gefälscht und leitet die Nutzer auf eine Google-Anmeldeseite um, die darauf ausgelegt ist, die Anmeldedaten zu stehlen. Die erbeuteten Informationen können Zugang zu Gmail, Google Docs und anderen mit dem Google-Konto verbundenen Diensten ermöglichen.
Stefan Dasic, Senior Malware Research Engineer bei Malwarebytes, erklärte, dass sich die gefälschte Kampagne dadurch auszeichnet, dass sie visuell deutlich überzeugender ist als viele andere Phishing-Versuche. Laut Dasic enthält das Seitendesign echte Logos und Farben, erfundene Fünf-Sterne-Bewertungen und einen langen Fußbereich, der fast vollständig auf die echten Seiten von Anthropic verlinkt. Auf der Seite befindet sich außerdem ein funktionierender Zähler, der anzeigt, wie viele der gefälschten 10.000 Konten "verteilt" wurden.
Die Technik des Browsers im Browser
Nutzer, die auf das Angebot klicken, werden auf eine Anmeldeseite weitergeleitet, die dazu gedacht ist, ein Claude-Konto hochzustufen. Auf der Seite ist die Option zur Anmeldung mit Apple deaktiviert, und es wird nur die Option "Mit Google anmelden" angeboten. Laut Dasic verwendet diese Seite eine so überzeugende "Browser-im-Browser"-Technik, dass sie unaufmerksame Nutzer täuschen kann; innerhalb des aktuellen Tabs wird ein gefälschtes Browserfenster mit einem Schloss-Symbol und einer korrekt geschriebenen Google-Anmeldeadresse gezeichnet, und dieses Fenster lässt sich sogar auf der Seite verschieben.
In einem Gespräch mit CNET wies Dasic darauf hin, dass Claude kein eigenes Passwort hat, was das Risiko erhöht. Nutzer greifen entweder über Google oder über einen per E-Mail zugesandten Anmeldelink auf Claude zu. Wenn das Claude-Konto einer Person mit dem Google-Konto verbunden ist, das Opfer des Phishings geworden ist, kann der Angreifer daher über beide Wege auf das Konto zugreifen.
Verbreitung und Spuren des Betrugs
Dasic erklärte, dass es noch zu früh sei, um zu sagen, wie weit verbreitet der Betrug ist und wie viele Menschen er erreicht hat. Bisherigen Untersuchungen zufolge lässt sich die Website bis zu einem im Vereinigten Königreich registrierten Unternehmen zurückverfolgen, der Server sei jedoch gemietet. Laut Dasic zeigt dies nur, woher der Server gemietet wurde, nicht aber, wer ihn gemietet hat.
In einigen Komponenten der Webseite befinden sich auf Russisch verfasste Entwicklerkommentare. Dasic fügte jedoch hinzu, dass die Sprache im Code allein ein schwacher Beweis sei und zuvor bereits gesehen wurde, dass sie zur Irreführung platziert wurde. Daher wird davon ausgegangen, dass diese Kommentare nicht unbedingt zu einem direkt mit der Kampagne verbundenen Betrüger gehören, sondern zu einem von jemand anderem entwickelten Tool gehören könnten.
Wie man gefälschte Browserfenster erkennt
Malwarebytes hat einige Hinweise zur Erkennung gefälschter Browserfenster geteilt. Man sollte versuchen, einen Anmeldebildschirm in Form eines Pop-up-Fensters aus dem Browser herauszuziehen; ein echtes Pop-up-Fenster bleibt nicht in einer Webseite gefangen. Auch ob der Passwort-Manager die Textfelder ausfüllt, ist ein wichtiger Indikator; wenn der Passwort-Manager die Informationen nicht ausfüllt, ist die Website höchstwahrscheinlich gefälscht.
Die Echtheit einer über einen Link erreichten Website kann bestätigt werden, indem man das Angebot auf der echten Website des Unternehmens sucht; in diesem Fall wird das Angebot auf der Website von Anthropic nicht zu finden sein. Auch die Tatsache, dass nur eine einzige Anmeldeoption angeboten wird, erfordert Aufmerksamkeit; eine deaktivierte Apple-Anmeldung kann ein Zeichen dafür sein, dass der Betrüger versucht, Nutzer in die Falle zu locken. Darüber hinaus zeigen Kontingentzähler und Countdowns nicht, dass eine Website oder ein Angebot echt ist.
