Missbrauch von Browser-Benachrichtigungen

What Is Missbrauch von Browser-Benachrichtigungen?

Der Missbrauch von Push-Benachrichtigungen ist zu einem der am schnellsten wachsenden Social-Engineering-Vektoren geworden. Schädliche Websites verleiten Benutzer durch irreführende Aufforderungen dazu, Benachrichtigungsberechtigungen zu erteilen. Am häufigsten handelt es sich dabei um gefälschte CAPTCHA-Aufforderungen mit der Aufschrift „Klicken Sie auf Zulassen, um zu bestätigen, dass Sie kein Roboter sind.“ Sobald diese Berechtigungen erteilt wurden, können Angreifer gefälschte Virenwarnungen, Phishing-Links und Betrugsinhalte direkt auf Ihren Desktop übertragen, selbst wenn der Browser geschlossen ist. In dieser Simulation folgen Sie Alice von Brightwave Analytics, während sie ein von einem Kollegen empfohlenes Infografik-Tool besucht. Auf der Website wird scheinbar eine Standard-CAPTCHA-Überprüfung angezeigt. Wenn Sie jedoch auf „Zulassen“ klicken, wird tatsächlich die Berechtigung zur Push-Benachrichtigung erteilt. Innerhalb weniger Stunden füllt sich Alices Desktop mit alarmierenden Benachrichtigungen: gefälschte Antiviren-Warnungen, Geschenkkartenangebote und eine überzeugende Warnung, die das Sicherheitsportal ihres Unternehmens imitiert. Sie erleben die Eskalation des Angriffs aus erster Hand, wenn Alice auf eine Benachrichtigung klickt, die zu einer Seite zum Sammeln von Anmeldeinformationen führt, die wie der Anmeldebildschirm ihres Unternehmens aussieht. Nach Eingabe ihrer Zugangsdaten erkennt die IT-Sicherheit die Kompromittierung. Sie durchlaufen den gesamten Behebungsprozess: Widerrufen der Benachrichtigungsberechtigungen in den Browsereinstellungen, Zurücksetzen des kompromittierten Passworts, Aktivieren der Multi-Faktor-Authentifizierung und Einreichen eines detaillierten Vorfallberichts. Den Abschluss der Übung bilden praktische Abwehrtechniken. Sie lernen, die visuellen Unterschiede zwischen echten CAPTCHA-Aufforderungen und gefälschten Benachrichtigungsaufforderungen zu erkennen, die standardmäßige Benachrichtigungsblockierung in Ihrem Browser zu konfigurieren und es sich zur Gewohnheit zu machen, Benachrichtigungsanfragen von unbekannten Websites abzulehnen.

What You'll Learn in Missbrauch von Browser-Benachrichtigungen

• Identifizieren Sie gefälschte CAPTCHA-Eingabeaufforderungen und andere Social-Engineering-Taktiken, die zur Erlangung von Benachrichtigungsberechtigungen eingesetzt werden
• Widerrufen Sie Push-Benachrichtigungsberechtigungen für bestimmte Websites in den Browsern Chrome, Firefox und Edge
• Erkennen Sie Phishing-Angriffe über Push-Benachrichtigungen, einschließlich gefälschter Sicherheitswarnungen
• Führen Sie Verfahren zur Reaktion auf Vorfälle aus, nachdem Anmeldeinformationen durch einen benachrichtigungsbasierten Phishing-Angriff kompromittiert wurden
• Konfigurieren Sie die Browser-Benachrichtigungseinstellungen, um Anfragen standardmäßig zu blockieren und nur vertrauenswürdige Websites auf die Zulassungsliste zu setzen

Missbrauch von Browser-Benachrichtigungen — Training Steps

1. Eine Kundenfrist

   Es ist Dienstagnachmittag. Alice hat morgen früh eine Kundenpräsentation für die Meridian Group und benötigt professionelle Infografiken, um die Engagement-Daten zu visualisieren. Der Aufbau von Grund auf würde Stunden dauern, die sie nicht hat.

2. Der Vorschlag eines Kollegen

   Es kommt eine E-Mail von Marcus Reid, einem Kollegen aus dem Designteam.

3. Besuchen Sie Chartify Pro

   Das Tool sieht vielversprechend aus und Marcus bürgt dafür. Alice klickt auf den Link, um es auszuprobieren.

4. Menschliche Überprüfung

   Die Seite wird geladen, zeigt jedoch sofort eine Bestätigungsaufforderung an. Eine Nachricht weist Alice an, in der Browser-Eingabeaufforderung oben auf Zulassen zu klicken, um zu bestätigen, dass sie ein Mensch ist.

5. Erstellen einer Infografik

   Das Verifizierungs-Overlay verschwindet und das Tool wird geladen. Es sieht professionell aus, mit Vorlagen für Balkendiagramme, Kreisdiagramme und mehr. Alice wählt eine Vorlage aus, um mit der Erstellung ihrer Präsentationsgrafiken zu beginnen.

6. Eine verdächtige Warnung

   Alice überprüft gerade die fertige Präsentation, als in der Ecke ihres Bildschirms eine Benachrichtigung angezeigt wird. Es wird behauptet, ihr PC sei mit Viren infiziert – sie erkennt jedoch die Quelle nicht. Es fühlt sich komisch an, also tut sie es ab.

7. Weitere Pop-Ups

   Ein paar Minuten später erscheint eine weitere Benachrichtigung – diese besagt, dass sie eine Geschenkkarte gewonnen hat. Alice verwirft es wieder, da sie das Betrugsmuster erkennt, aber sie beginnt sich zu fragen, woher diese Benachrichtigungen kommen.

8. Was ist los?

   Alice erhält weiterhin diese Popup-Benachrichtigungen, obwohl sie keine verdächtigen Websites besucht hat. Da stimmt eindeutig etwas nicht.

9. Eine gezielte Warnung

   Es erscheint eine weitere Benachrichtigung, diese ist jedoch anders. Anstelle einer allgemeinen Virenwarnung wird Brightwave Analytics ausdrücklich erwähnt und auf einen Sicherheitsvorfall hingewiesen. Es sieht offizieller aus als die anderen.

10. Überprüfung ihrer Identität

    Die Benachrichtigung öffnet eine Seite, die wie ein Brightwave-Sicherheitsportal aussieht, und fordert Alice auf, ihre Identität zu bestätigen. Die Seite warnt vor ungewöhnlichen Anmeldeaktivitäten und fragt nach ihren Arbeitsanmeldeinformationen.