DATEV-Phishing missbraucht PDQ Connect für Fernzugriff

Eine aktuelle Analyse von revel8 hat eine Phishing-Kampagne aufgedeckt, die sich als DATEV eG ausgibt und PDQ Connect – eine legitime Plattform für Remote-Management – als Waffe einsetzt, um unbefugte administrative Kontrolle über die Geräte der Opfer zu erlangen.

DATEV ist ein großer deutscher Software- und IT-Dienstleister, der im deutschen Wirtschaftsumfeld weit verbreitet ist.

Zwar wurde die E-Mail über SendGrid zugestellt und bestand technisch SPF/DKIM für sendgrid.net, doch die Kampagne setzte auf Markenimitation, das Auslesen von Webseiten und eine mehrstufige Zustellung, um PDQ Connect als Brückenkopf für Fernzugriff zu installieren.

Zusammenfassung für Entscheider 

• Aufklärung: Die Angreifenden durchsuchten die Website des Opfers, um Kontaktdaten zu sammeln, Zielabteilungen zu identifizieren und die Sprache zu übernehmen. Daraus bauten sie einen überzeugenden HTML-Köder im DATEV-Design mit Bezug auf Buchhaltungsauswertungen, Finanzberichte und Rechnungen.
• Zustellung: Die E-Mails wurden über SendGrid weitergeleitet und bestanden SPF/DKIM für die Domain von SendGrid.
• Der zentrale Button wurde auf Klick-Tracking-URLs von ct.sendgrid.net umgeschrieben. Diese protokollierten den Fingerabdruck des Opfers (E-Mail-Adresse, Zeitstempel, IP/Geolokalisierung, User Agent, Gerätetyp, Wiederholungsstatus), bevor sie zum Ziel weiterleiteten – in diesem Fall zum Download von PDQ Connect. 
• Analyse-Abwehr: Beim Aufruf außerhalb der IP-Adresse bzw. Region des Opfers leitete dieselbe URL auf eine harmlose Seite weiter. Das deutet auf eine geo- und IP-abhängige Weiterleitungslogik hin, die automatisierte Analysen unterlaufen soll.
• Payload: Erfolgreiche Klicks wurden auf eine von den Angreifenden kontrollierte Website geleitet, die eine PDQ-Connect-MSI bereitstellte. Einmal installiert, ließ sich PDQ Connect als RMM-artiger Brückenkopf für potenziellen Fernzugriff und RAT-ähnliche Aktivitäten missbrauchen.

Die Angriffskette

Die Nachricht wurde über die SendGrid-Infrastruktur (outbound-mail.sendgrid.net) mit bestandener SPF/DKIM-Prüfung versendet. Der Anzeigename des Absenders gab jedoch „DATEV-Serviceinformationen“ vor, während das tatsächliche From-Feld eine Gmail-Adresse enthielt – wodurch DMARC fehlschlug.

Die E-Mail lief über mehrere Server und enthielt extrem lange Tracking- und Abmeldelinks.

Der Redirector (SendGrid) setzte eine Logik ein, die je nach IP, Geolokalisierung, User Agent oder Referrer unterschiedliche Inhalte auslieferte. Tests von außerhalb der Region des Opfers führten durchgängig auf eine harmlose Facebook-Startseite – ein klarer Beleg für Geo-/IP-Filterung: Bösartige Inhalte erhalten nur die vorgesehenen Ziele, allen anderen werden harmlose Inhalte angezeigt, um einer Erkennung zu entgehen.

Nachdem SendGrid den Klick protokolliert hat, leitet der Dienst die Nutzenden auf die finale Landingpage der Angreifenden weiter – in diesem Fall auf eine MSI-Datei, die PDQ Connect installiert.

PDQ Connect ist legitime RMM-/Agent-Software. Wird sie jedoch unter der Kontrolle von Angreifenden installiert, wirkt sie faktisch wie ein RAT und ermöglicht administrative Fernsteuerung. PDQ Connect richtet sich als Dienst bzw. Agent ein und lässt sich so konfigurieren, dass es Neustarts übersteht.

Mit diesem Brückenkopf können Angreifende Befehle aus der Ferne ausführen, Zugangsdaten und Tokens abgreifen, Ransomware auslösen und Schadsoftware installieren.

Fazit

Diese Phishing-Kampagne im DATEV-Design nutzte die Zustellung über SendGrid, von der Website kopiertes Branding und lange, getrackte Weiterleitungen, um Nutzende zu PDQ Connect zu lenken – einem legitimen Werkzeug für Remote-Management. Da die Aktivität frühzeitig erkannt wurde, wurden keine Endpunkte kompromittiert.

In der kontrollierten Analyse ließ sich die vollständige Zustellkette nicht beobachten, da das Klick-Tracking-System den Zugriff auf die vorgesehene Payload verhinderte. Alle in den Nachrichten-Headern, URLs und der Zustellkette identifizierten IOCs wurden markiert und an die zuständigen Dienstanbieter gemeldet.

Dieses Bedrohungsmodell deckt sich mit Berichten des NJCCIC, die Kampagnen auf Basis von PDQ Connect beschreiben, bei denen MSI-Installer über Phishing-Motive wie Steuerformulare und Voicemail-Benachrichtigungen verbreitet werden.

Indicators of Compromise (IOCs)

Absender:
quynhquocbuirte@gmail[.]com
bichsam88272@gmail[.]com
saojfgopw7492@gmail[.]com

Distr. URLs: 

• hxxps[://]haitiepi[.]com/smut/tradename/
• hxxps[://]wchsecure[.]com/amateurishness/forfeiture/
• hxxps[://]paukp[.]com/containers/inshore/
• hxxps[://]albusproduction[.]com/fitzgerald/chatter/
• hxxps[://]datev-plattformen[.]com