Das von den Sicherheitsforschern des KnowBe4 Threat Labs untersuchte „Bulletproof Blind Redirector“-Kit ermöglicht es Angreifern, klassische E-Mail-Sicherheitsmechanismen und teilweise auch die Multi-Faktor-Authentifizierung (MFA) zu umgehen. Dafür versteckt es die eigentliche Phishing-Infrastruktur hinter legitimen, zuvor kompromittierten Websites. Die in Phishing-Mails enthaltenen Links führen zunächst auf diese unauffälligen Webseiten, während das tatsächliche Angriffsziel erst nach dem Aufruf im Hintergrund geladen wird.
Zwischen Ende April und Mitte Juli 2026 wurden auf diese Weise Tausende Phishing-Mails zugestellt, ohne von herkömmlichen Secure Email Gateways (SEGs) erkannt zu werden. Das Kit prüft unter anderem IP-Adresse und Browserinformationen, um echte Nutzer von automatisierten Sicherheitsscannern zu unterscheiden. Erst wenn die Anfrage als legitim eingestuft wird, erfolgt die Weiterleitung zum eigentlichen Phishing-Ziel. Werden kompromittierte Websites entdeckt oder bereinigt, können die Angreifer sie schnell durch neue ersetzen.
Besonders gefährlich ist die Verbindung mit sogenannten Adversary-in-the-Middle-(AiTM)-Kits wie „Sneaky2FA“ und „Tycoon 2FA“. Diese können den Authentifizierungsprozess in Echtzeit abfangen und dabei bereits durch MFA geschützte Sitzungen übernehmen. Dadurch reicht selbst eine erfolgreich durchgeführte klassische MFA-Prüfung nicht immer aus, um einen Kontoübergriff zu verhindern.
Die Analyse verdeutlicht deshalb, dass herkömmliche E-Mail-Filter, URL-Prüfungen und klassische MFA allein keinen ausreichenden Schutz bieten. Empfohlen werden phishing-resistente Verfahren wie FIDO2 oder Hardware-Sicherheitsschlüssel sowie zusätzliche Kontrollen zur Geräte- und Anmeldeüberprüfung. Auch verdächtige Wiederverwendungen von Sitzungs- oder OAuth-Tokens und ungewöhnliche Anmeldungen nach einer erfolgreichen MFA-Prüfung sollten überwacht werden.
Nutzer sollten zudem beachten, dass selbst eine täuschend echte Microsoft-Anmeldeseite oder eine erfolgreiche MFA-Abfrage nicht automatisch bedeutet, dass die aufgerufene Website vertrauenswürdig ist.
Quelle: https://blog.knowbe4.com/bulletproof-blind-redirector-phishing-kit-analysis
