Der klassische Sicherheitsratschlag ist so alt wie die E-Mail selbst: "Fahre mit der Maus über den Link, bevor du klickst!" Stimmt die Domain im Mouse-Over mit dem angeblichen Absender überein, wiegen sich viele Anwender – und leider auch manche Administratoren – in Sicherheit. Doch die Angreifer haben dazugelernt. Mit der Taktik des sogenannten „Reputation Hijacking“ nutzen sie den exzellenten Ruf großer Cloudanbieter als Schutzschild.

Dringlichkeit trifft auf weiße Weste

Das Setup ist perfide, aber hocheffektiv. Eine typische Phishing-Mail landet im Postfach, adressiert an den „IT-Administrator“ oder den Inhaber einer Firmenpräsenz. Der Inhalt erzeugt sofortigen Handlungsdruck: "Verstoß gegen die Gemeinschaftsstandards. Die Löschung Ihrer Seite ist für in 24 Stunden geplant." Das Design von Meta/Facebook ist täuschend echt nachgebaut, inklusive offizieller Firmenadressen und einer generierten Fall-ID im Fußbereich.

Wer nun den Mouse-Over-Check in Clients wie Thunderbird oder Outlook durchführt, reibt sich verwundert die Augen: Der Link führt nicht zu einer dubiosen osteuropäischen oder asiatischen Domain, sondern zeigt glasklar eine offizielle Adresse: "https://sites.google[.]com/view/recaptchapage". Da Google-Domains auf den Whitelists fast aller Spam-Filter stehen und beim Nutzer blindes Vertrauen genießen, wird die E-Mail durchgewinkt.

Living off the Land und Bot-Bremse

Hinter dieser Methode steckt das Prinzip "Living off the Land" (LotL) im Phishing-Kontext. Die Angreifer registrieren über anonyme oder kompromittierte Konten völlig legal kostenlose Landingpages bei Diensten wie Google Sites, Microsoft OneDrive, Canva oder Linktree. Diese Seiten dienen als reine Bypässe.

Landet das Opfer auf der Google-Site, schnappt die Falle jedoch nicht sofort zu. Häufig wird dem Nutzer ein (Fake-)reCAPTCHA präsentiert. Im aktuellen Fall zeigen Analysen eine besonders aggressive Variante, bei der bis zu fünf Bilderrätsel (Busse, Brücken, Fahrräder et cetera) gelöst werden müssen.

Was für den Nutzer wie eine nervige Sicherheitsprüfung wirkt, ist in Wahrheit eine gezielte Abwehrmaschine gegen IT-Sicherheitsdienste. Moderne Mail-Gateways und automatisierte Sandbox-Systeme scannen Links in Echtzeit, indem sie diese beim Eintreffen der Mail virtuell ansteuern. Diese Bots verhalten sich jedoch starr: Sie klicken ein- oder zweimal, stoßen dann auf die Captcha-Barriere und brechen die Analyse ergebnislos ab.

Die Google-Site wird im Sicherheitsreport als "sauber" eingestuft, da der eigentliche Schadcode erst hinter der Benutzerinteraktion liegt. Erst nach dem Lösen des Rätsels erfolgt die Weiterleitung (meist via JavaScript) auf die eigentliche Phishing-Infrastruktur – im konkreten Fall auf die täuschend echte Domain "www.meta-appeal-center[.]com", wo über ein Skript (/api/verify) die Zugangsdaten abgegriffen werden.

Sicher analysieren ohne Risiko

Ein Link auf eine vertrauenswürdige Domain ist kein Freifahrtschein. Um das reale Ziel einer URL zu ermitteln, ohne das eigene System zu gefährden, gehört folgendes Werkzeugset in den Administrator-Alltag:

• URLScan.io: Das Schweizer Taschenmesser für die URL-Analyse. Der Dienst steuert die Zielseite auf eigenen Servern an, fertigt einen Screenshot an und listet die komplette Redirect-Kette (inklusive aller nachgeladenen Skripte) auf, ohne dass Schadcode den Admin-PC erreicht.

• Any.Run / VirusTotal: In einer interaktiven Sandbox wie Any.Run lässt sich das Verhalten der Seite live beobachten – inklusive der HTTP-POST-Requests, die beim Absenden der Formulardaten ausgelöst werden.

• Kommandozeile (curl): Für den schnellen Check von HTTP-Header-Weiterleitungen im Terminal eignet sich der Befehl curl -IL "URL". Er fragt lediglich die Header ab. Achtung: Bei Javascript-basierten Weiterleitungen hinter einem Captcha greift dieser Befehl jedoch ins Leere.

• Prävention auf DNS-Ebene: Da Angreifer die finale Phishing-Infrastruktur oft auf frisch registrierten Domains hosten, bieten filternde DNS-Resolver wie Quad9 einen Schutzschirm. Selbst wenn der Anwender das Fake-Captcha auf der Google-Site löst, blockiert ein sicherer DNS-Filter im Idealfall die Namensauflösung der nachgelagerten Schaddomain in Echtzeit und stoppt den Angriff, bevor die gefälschte Loginmaske lädt.

URL-Analyse mit cURL

Für Administratoren, die nicht erst einen Webdienst aufrufen wollen, bietet die Kommandozeile ein mächtiges Bordwerkzeug: curl. Mit den richtigen Parametern lassen sich HTTP-Statuscodes und Umleitungen direkt im Terminal transparent machen, ohne dass der Browser die Seite rendert oder bösartigen Code ausführt. Der Befehl für den schnellen Check lautet:

curl -IL "https://verdächtige-domain.de" 

Die Parameter-Kombination "-IL" ist hierbei der Schlüssel:

• -I (or --head): Weist cURL an, ausschließlich den HTTP-Header vom Server abzufragen. Der eigentliche HTML-Inhalt (Body) – und damit potenzieller Schadcode – wird ignoriert und gar nicht erst heruntergeladen.

• -L (or --location): Zwingt cURL dazu, HTTP-Weiterleitungen (etwa "301 Moved Permanently" oder "302 Found") automatisch zu folgen.

Im Terminal listet cURL daraufhin die gesamte Kette der Server-Antworten auf. Der Admin muss lediglich nach den Zeilen suchen, die mit Location: beginnen. Dort steht die unmaskierte Ziel-URL, an die der Server den Browser weiterleiten möchte.

Im aktuellen Fall des Google-Sites-Phishings stößt cURL allerdings an seine Grenzen. Da die Scammer hier keine serverseitige HTTP-Umleitung (wie einen 301- oder 302-Statuscode) nutzen, sondern die Weiterleitung hinter einem interaktiven JavaScript-Captcha liegt, liefert cURL lediglich ein sauberes "200 OK" für die Google-Site zurück.

Da das Kommandozeilen-Tool den dort eingebetteten JavaScript-Code nicht ausführt, bleibt der eigentliche Phishing-Server im Verborgenen. Sobald also interaktive Elemente oder clientseitige Skripte im Spiel sind, bleibt der Griff zu fortgeschrittenen Sandboxen wie URLScan.io oder Any.Run unerlässlich.

Fazit

Der Mouse-Over-Check verkommt zum Sicherheitsrisiko, wenn er blind befolgt wird. In Zeiten von cloudnativem Phishing hilft nur ein konsequenter Zero-Trust-Ansatz bei unerwarteten System- und Warnmeldungen. Administratoren müssen ihre Teams gezielt für diese "vorgeschalteten" Vertrauensinseln sensibilisieren, da rein statische Erkennungsmuster im Wettrüsten gegen dynamische Angreifer zunehmend ins Leere laufen.