Eine Phishingkampagne, die Mitte August 2026 begann, nutzte Google-Kalendereinladungen, um aktive Sitzungen von Nutzern in Unternehmen zu stehlen, wie Material Security berichtet. Die Angreifer schalteten einen Reverse-Proxy vor die echte Google-Anmeldeseite und konnten so Sitzungen abgreifen, selbst wenn die Opfer die Multi-Faktor-Authentifizierung (MFA) abschlossen.

Die Einladungen nutzten alltägliche Vorwände, darunter Benachrichtigungen über Sprachnachrichten, Anfragen zu RFPs und RFIs, gerichtliche Vorladungen und Mitteilungen über ausstehende Zahlungen. Einige stammten von Organisationen, mit denen die Empfänger zuvor Kontakt gehabt hatten, und viele wurden von kompromittierten Konten an die dort gespeicherten Kontakte ihrer Inhaber gesendet.

Die Links führten häufig zunächst zum eigenen Weiterleitungsdienst von Google; andere Varianten verwendeten share.google- oder Google-Drive-Links. Material beobachtete außerdem eine Variante mit Benachrichtigungen zu Intuit-Transaktionen. Da die sichtbaren Domains und Zertifikate zu legitimen Diensten gehörten, konnten Reputationsprüfungen einen beruhigenden Eindruck vermitteln.

Nachdem ein Opfer dem Link gefolgt war, leitete ein Live-Proxy den Anmeldevorgang an Google weiter. Die Angreifer konnten die Sitzung beobachten, während das Opfer ein Passwort eingab und Aufforderungen bestätigte. Laut Material leitete die Einrichtung auch SMS- und Authenticator-Codes, Googles Zahlenabgleich per „Tap-Yes“-Aufforderung sowie die kontobasierte Wiederherstellung per Telefon weiter. Dadurch konnte die Sitzung trotz dieser Prüfungen abgefangen werden.

Die Kampagne nutzte eine dreistufige Angriffskette: eine Google-Weiterleitung, eine Cloudflare-Turnstile-Prüfung und eine Seite zum Abgreifen von Zugangsdaten, die nach der Prüfung im Browser des Besuchers erstellt wurde. Laut Material gab es keine statische Website, die ein Crawler hätte untersuchen können. Die Operation verwendete zahlreiche erst kürzlich registrierte Domains und wechselnde Empfangs-Endpunkte, sodass einzelne Komponenten bei einer Blockierung kostengünstig ersetzt werden konnten.

Das Threat-Research-Team von Material verfolgte die Aktivitäten und gab ihnen den Namen Operation CloudFire. Das Unternehmen erklärt, dass seine Erkennungssysteme seit der Identifizierung der Kampagne mehr als 99 % der schädlichen Nachrichten abgefangen haben; die Umklassifizierungsrate lag bei 0,01 %. Die Analyse kombinierte technische Indikatoren mit der Absicht der Nachrichten, den Linkzielen und der Beziehung zwischen Absender und Empfänger.

Ende September begann Material, die Gateway- und Backend-URLs der Kampagne an Cloudflare zu melden. Nachdem Cloudflare die gefälschte Zwischenseite und die über einen Proxy geleitete Anmeldeseite überprüft hatte, fügte das Unternehmen Warnhinweise zu den gemeldeten Zielen hinzu. Laut Material störte dies die Infrastruktur. Wer gemeldeten Links folgte, konnte dadurch eine Warnung statt eines Formulars zur Eingabe von Zugangsdaten sehen.

Innerhalb eines Monats verzeichnete Material bei Kunden, die der Weitergabe von Daten zugestimmt hatten, 68.676 blockierte Kampagnennachrichten, 2.112 eindeutige schädliche URLs und 897 abgeschaltete Domains. Außerdem zählte das Unternehmen 8.570 kompromittierte Absenderadressen über 6.354 Root-Domains hinweg. Das Unternehmen wies darauf hin, dass diese Zahlen nicht die gesamte Reichweite der Kampagne abbilden.

Laut Material verlagerten sich die Köder später von Kalendereinladungen hin zu Einladungen zum Teilen von Google-Drive-Dateien und -Dokumenten, während sich die Aktivitäten der Gruppe offenbar zerstreuten. Das Unternehmen bezeichnete die Kampagne als anscheinend beendet, warnte jedoch, dass sich ihre Infrastruktur kostengünstig wiederaufbauen lasse. Die Analyse fand außerdem einen nicht fertiggestellten Microsoft-365-Zweig im Framework der Angreifer, doch diese Pfade waren nicht aktiv.

Quellen: BleepingComputer.