{"id":3456,"date":"2025-06-05T12:53:24","date_gmt":"2025-06-05T12:53:24","guid":{"rendered":"https:\/\/cybersecurityinfocus.com\/?p=3456"},"modified":"2025-06-05T12:53:24","modified_gmt":"2025-06-05T12:53:24","slug":"hacker-erbeuten-salesforce-daten-mit-vishing","status":"publish","type":"post","link":"https:\/\/cybersecurityinfocus.com\/?p=3456","title":{"rendered":"Hacker erbeuten Salesforce-Daten mit Vishing"},"content":{"rendered":"
\n
\n
\n
\n
<\/div>\n
\n

Salesforce-User in mehreren Branchen wurden Opfer einer gezielten Vishing-Attacke.<\/p>\n

JHVEPhoto \u2013 shutterstock.com<\/p>\n<\/div>\n

Eine neue Welle von Cyberangriffen auf Salesforce-Kunden erfasst aktuell Unternehmen verschiedener Branchen, darunter Gastgewerbe, Einzelhandel und Bildungswesen. Die Google Threat Intelligence Group (GTIG<\/a>) hat die Angreifer, die sich auf Voice-Phishing (Vishing<\/a>) spezialisiert haben, als UNC6040 identifiziert.<\/p>\n

Modifizierte Salesforce-Tools als Einfallstor<\/strong><\/h2>\n

Berichten zufolge geben sich Vertreter der Gruppe am Telefon als IT-Support-Mitarbeitende aus und \u00fcberreden die Opfer, eine modifizierte Version des Salesforce Data Loader<\/a> zu installieren. Die manipulierte Version nutzt die OAuth-basierte Funktion \u201eConnected Apps\u201c von Salesforce aus, um sich mit der Salesforce-Umgebung der Opfer zu verbinden. Indem die Opfer einen von den Angreifenden bereitgestellten Verbindungscode auf der Setup-Seite f\u00fcr verbundene Apps eingeben, erhalten die Kriminellen direkten Zugriff auf umfangreiche Datenbest\u00e4nde.<\/p>\n

Die modifizierte Data-Loader-App wird dabei h\u00e4ufig mit einem harmlos klingenden Namen wie \u201eMy Ticket Portal\u201c dargestellt. Ziel ist es, den IT-Support-Vorwand glaubw\u00fcrdiger erscheinen zu lassen. Hierbei handelt es sich laut den Experten von Google um eine Form von gezielten Social-Engineering-Angriffen, die auf Nachl\u00e4ssigkeiten bei der Zugriffskontrolle und Schulung der Nutzer abzielen. Die Kriminellen h\u00e4tten keine Schwachstelle von Salesforce ausgenutzt, so GTIG<\/a>.<\/p>\n

Seitliche Bewegungen und Erpressungsversuche<\/strong><\/h2>\n

Sobald die Bande erfolgreich in die Salesforce-Instanzen eingedrungen ist, bewegt sie sich seitlich durch die IT-Infrastruktur der Opfer und greift weitere Cloud-Dienste an, darunter<\/p>\n

Okta und<\/p>\n

Microsoft 365.<\/p>\n

Dabei werden auch Phishing-Panels eingesetzt, um weitere Zugangsdaten und Multi-Faktor-Authentifizierungscodes zu erlangen.<\/p>\n

Die Experten von GTIG vermuten, dass UNC6040 eine Partnerschaft mit einem zweiten Bedrohungsakteur eingegangen ist, der den Zugang zu den gestohlenen Daten zu Geld macht. \u201eBislang haben wir noch keine F\u00e4lle gesehen, in denen UNC6040 w\u00e4hrend dieser Kampagne Ransomware eingesetzt hat\u201c, so GTIG-Analyst Austin Larsen im Interview mit The Register<\/a>.<\/p>\n

\u00c4hnliche Methoden wie andere Hackergruppen<\/strong><\/h2>\n

Die gestohlenen Daten werden entweder direkt f\u00fcr Erpressungen genutzt oder an andere kriminelle Gruppen weiterverkauft. Erpressungsversuche treten teilweise erst Monate nach dem initialen Einbruch auf, was laut GTIG auf ein komplexes kriminelles Netzwerk hindeutet. UNC6040 behauptet von sich selbst, dass sie Kontakte zur Gruppe ShinyHunters<\/a> h\u00e4tten.<\/p>\n

Unabh\u00e4ngig von m\u00f6glichen Partnerschaften setzt UNC6040 Taktiken und Techniken ein, die \u00c4hnlichkeiten mit anderen bekannten Gruppen aufweisen wie<\/p>\n

Scattered Spider<\/a>s hybride Vishing-Attacke<\/a>n im Jahr 2024,<\/p>\n

der Letscall<\/a>-Malware-Kampagne in S\u00fcdkorea und<\/p>\n

dem lose organisierten Kollektiv \u201eThe Com\u201c.<\/p>\n

Dennoch handele es sich laut GTIG um eine eigenst\u00e4ndige Gruppe, die sich durch ihre spezifischen Vorgehensweisen unterscheide.<\/p>\n

Empfehlungen und Schutzma\u00dfnahmen<\/strong><\/h2>\n

Sowohl die Sicherheitsexperten als auch Salesforce<\/a> empfehlen eine Reihe von Ma\u00dfnahmen, um sich gegen diese Art von Angriffen zu sch\u00fctzen. Dazu geh\u00f6ren:<\/p>\n

Strikte Einhaltung des Prinzips der geringsten Privilegien bei Zugriffsrechten;<\/p>\n

\u00dcberwachung und Kontrolle von verbundenen Apps in Salesforce;<\/p>\n

Einsatz von IP-basierten Zugriffsbeschr\u00e4nkungen;<\/p>\n

Verpflichtende Multi-Faktor-Authentifizierung (MFA);<\/p>\n

Schulungen der Mitarbeiter im Umgang mit Social-Engineering-Angriffen, insbesondere Vishing.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"

Salesforce-User in mehreren Branchen wurden Opfer einer gezielten Vishing-Attacke. JHVEPhoto \u2013 shutterstock.com Eine neue Welle von Cyberangriffen auf Salesforce-Kunden erfasst aktuell Unternehmen verschiedener Branchen, darunter Gastgewerbe, Einzelhandel und Bildungswesen. Die Google Threat Intelligence Group (GTIG) hat die Angreifer, die sich auf Voice-Phishing (Vishing) spezialisiert haben, als UNC6040 identifiziert. Modifizierte Salesforce-Tools als Einfallstor Berichten zufolge geben […]<\/p>\n","protected":false},"author":0,"featured_media":3457,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-3456","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-education"],"_links":{"self":[{"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=\/wp\/v2\/posts\/3456"}],"collection":[{"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=3456"}],"version-history":[{"count":0,"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=\/wp\/v2\/posts\/3456\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=\/wp\/v2\/media\/3457"}],"wp:attachment":[{"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=3456"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=3456"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybersecurityinfocus.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=3456"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}