Browser-in-the-Middle-Angriffe: Wie gefälschte Browser MFA-geschützte Konten stehlen

Überblick

Eine ausgefeilte Phishing-Kampagne, die Unit42 von Palo Alto Networks seit mindestens April 2025 beobachtet, nutzt die Technik Browser‑in‑the‑Middle (BitM), um Zugangsdaten für Meta/Facebook abzugreifen.

Am Anfang steht in der Regel ein präparierter Link in einer Phishing-Mail – häufig als angebliche Urheberrechts- oder Richtlinienmeldung getarnt –, der das Opfer auf eine gefälschte CAPTCHA-Seite umleitet. Die Interaktion mit dem CAPTCHA öffnet ein gefälschtes Browserfenster innerhalb der Seite: eine täuschend echte Browseroberfläche, die im legitimen Browser dargestellt wird, Facebook-Login-Pop-ups imitiert, eine augenscheinlich echte URL anzeigt und dabei die Zugangsdaten mitschneidet.

Der Angriff ist weiterhin auf Social Engineering angewiesen: Das Opfer muss dazu gebracht werden, den schädlichen Link anzuklicken und mit der gefälschten Seite zu interagieren.

Wie der Angriff abläuft

Die Kette beginnt mit Social Engineering und einem gekürzten Link.

Die Weiterleitung führt die Nutzenden auf eine vorgetäuschte CAPTCHA-Seite, die bei Interaktion eine gefälschte Browseroberfläche im echten Browser erzeugt. Das Opfer schließt Login und MFA in diesem weitergeleiteten Browser ab. Die Angreifenden zeichnen die authentifizierte Sitzung auf – über Cookies oder durch Export des Browserprofils – und können sie anschließend wiederverwenden oder fortsetzen.

Mechanik des Social Engineering

Zuerst kommt der emotionale Druck: Eine angebliche Urheberrechtsbeschwerde oder die Warnung vor einer Kontosperrung drängt Menschen zu schnellem Handeln.

Die Imitation einer großen Plattform (Facebook/Meta) nutzt den hohen Wiedererkennungswert und die Erwartung vertrauter, legitimer Login-Abläufe.

Ein gefälschtes CAPTCHA senkt das Misstrauen zusätzlich, denn Nutzende sind es gewohnt, zum Fortfahren auf „Ich bin kein Roboter“ zu klicken.

‍

Aktuell konzentriert sich diese Kampagne auf das Ökosystem von Meta, doch die zugrunde liegenden Taktiken, Techniken und Vorgehensweisen (TTPs) sind sehr flexibel einsetzbar. Sie lassen sich ohne großen Aufwand auf andere Plattformen übertragen, bei denen Kontozugriff wertvoll ist.

‍Fazit

Diese laufende Kampagne zeigt, wie sich Browser-in-the-Middle-Phishing (BitM) zu einer schlüsselfertigen Methode entwickelt, um MFA-geschützte Sitzungen zu stehlen – mit Social Engineering, Weiterleitungsketten und gefälschten Browserumgebungen. Erschwerend kommt hinzu, dass die Kampagne ihre Domains häufig wechselt, was Erkennung und Blockierung deutlich schwieriger macht.

Die zentrale Erkenntnis: Eine legitim wirkende URL allein genügt nicht mehr, um Echtheit zu beurteilen. Unternehmen brauchen mehrstufige Schutzmechanismen, um sich gegen diese ausgefeilten Phishing-Bedrohungen zu wappnen.

Security-Awareness-Trainings von revel8 helfen Ihrem Unternehmen, solchen sich wandelnden Taktiken einen Schritt voraus zu sein: Ihre Mitarbeitenden erhalten das Wissen und die Fähigkeiten, fortgeschrittene Phishing-Techniken wie BitM zu erkennen und richtig zu reagieren, bevor Schaden entsteht.