DATEV-Phishing missbraucht PDQ Connect für Fernzugriff

Eine aktuelle Analyse von revel8 hat eine Phishing-Kampagne aufgedeckt, die sich als DATEV eG ausgibt und PDQ Connect – eine legitime Plattform für Remote-Management – als Waffe einsetzt, um unbefugte administrative Kontrolle über die Geräte der Opfer zu erlangen.

DATEV ist ein großer deutscher Software- und IT-Dienstleister, der im deutschen Wirtschaftsumfeld weit verbreitet ist.

Zwar wurde die E-Mail über SendGrid zugestellt und bestand technisch SPF/DKIM für sendgrid.net, doch die Kampagne setzte auf Markenimitation, das Auslesen von Webseiten und eine mehrstufige Zustellung, um PDQ Connect als Brückenkopf für Fernzugriff zu installieren.

Zusammenfassung für Entscheider 

• Aufklärung: Die Angreifenden durchsuchten die Website des Opfers, um Kontaktdaten zu sammeln, Zielabteilungen zu identifizieren und die Sprache zu übernehmen. Daraus bauten sie einen überzeugenden HTML-Köder im DATEV-Design mit Bezug auf Buchhaltungsauswertungen, Finanzberichte und Rechnungen.
• Zustellung: Die E-Mails wurden über SendGrid weitergeleitet und bestanden SPF/DKIM für die Domain von SendGrid.
• Der zentrale Button wurde auf Klick-Tracking-URLs von ct.sendgrid.net umgeschrieben. Diese protokollierten den Fingerabdruck des Opfers (E-Mail-Adresse, Zeitstempel, IP/Geolokalisierung, User Agent, Gerätetyp, Wiederholungsstatus), bevor sie zum Ziel weiterleiteten – in diesem Fall zum Download von PDQ Connect. 
• Analyse-Abwehr: Beim Aufruf außerhalb der IP-Adresse bzw. Region des Opfers leitete dieselbe URL auf eine harmlose Seite weiter. Das deutet auf eine geo- und IP-abhängige Weiterleitungslogik hin, die automatisierte Analysen unterlaufen soll.
• Payload: Erfolgreiche Klicks wurden auf eine von den Angreifenden kontrollierte Website geleitet, die eine PDQ-Connect-MSI bereitstellte. Einmal installiert, ließ sich PDQ Connect als RMM-artiger Brückenkopf für potenziellen Fernzugriff und RAT-ähnliche Aktivitäten missbrauchen.

Die Angriffskette

Die Nachricht wurde über die SendGrid-Infrastruktur (outbound-mail.sendgrid.net) mit bestandener SPF/DKIM-Prüfung versendet. Der Anzeigename des Absenders gab jedoch „DATEV-Serviceinformationen“ vor, während das tatsächliche From-Feld eine Gmail-Adresse enthielt – wodurch DMARC fehlschlug.

Die E-Mail lief über mehrere Server und enthielt extrem lange Tracking- und Abmeldelinks.

Der Redirector (SendGrid) setzte eine Logik ein, die je nach IP, Geolokalisierung, User Agent oder Referrer unterschiedliche Inhalte auslieferte. Tests von außerhalb der Region des Opfers führten durchgängig auf eine harmlose Facebook-Startseite – ein klarer Beleg für Geo-/IP-Filterung: Bösartige Inhalte erhalten nur die vorgesehenen Ziele, allen anderen werden harmlose Inhalte angezeigt, um einer Erkennung zu entgehen.

Nachdem SendGrid den Klick protokolliert hat, leitet der Dienst die Nutzenden auf die finale Landingpage der Angreifenden weiter – in diesem Fall auf eine MSI-Datei, die PDQ Connect installiert.

PDQ Connect ist legitime RMM-/Agent-Software. Wird sie jedoch unter der Kontrolle von Angreifenden installiert, wirkt sie faktisch wie ein RAT und ermöglicht administrative Fernsteuerung. PDQ Connect richtet sich als Dienst bzw. Agent ein und lässt sich so konfigurieren, dass es Neustarts übersteht.

Mit diesem Brückenkopf können Angreifende Befehle aus der Ferne ausführen, Zugangsdaten und Tokens abgreifen, Ransomware auslösen und Schadsoftware installieren.

Fazit

Diese Phishing-Kampagne im DATEV-Design nutzte die Zustellung über SendGrid, von der Website kopiertes Branding und lange, getrackte Weiterleitungen, um Nutzende zu PDQ Connect zu lenken – einem legitimen Werkzeug für Remote-Management. Da die Aktivität frühzeitig erkannt wurde, wurden keine Endpunkte kompromittiert.

In der kontrollierten Analyse ließ sich die vollständige Zustellkette nicht beobachten, da das Klick-Tracking-System den Zugriff auf die vorgesehene Payload verhinderte. Alle in den Nachrichten-Headern, URLs und der Zustellkette identifizierten IOCs wurden markiert und an die zuständigen Dienstanbieter gemeldet.

Dieses Bedrohungsmodell deckt sich mit Berichten des NJCCIC, die Kampagnen auf Basis von PDQ Connect beschreiben, bei denen MSI-Installer über Phishing-Motive wie Steuerformulare und Voicemail-Benachrichtigungen verbreitet werden.

FAQ

Was ist in dieser DATEV-Phishing-Kampagne passiert?

Angreifende gaben sich als DATEV eG aus, ein großer deutscher Software- und IT-Dienstleister, und nutzten über SendGrid zugestellte E-Mails mit von der Website kopiertem Branding und Ködern zu Buchhaltungsauswertungen und Rechnungen. Klicks führten auf eine von den Angreifenden kontrollierte Seite mit einer MSI-Datei, die PDQ Connect installiert – ein legitimes Remote-Management-Tool, das hier als Brückenkopf für Fernzugriff zweckentfremdet wurde.

Warum bestand die Phishing-Mail SPF und DKIM?

Weil sie über die legitime Infrastruktur von SendGrid zugestellt wurde, bestand sie technisch SPF/DKIM für sendgrid.net. Der verräterische Punkt lag woanders: Der Anzeigename gab „DATEV-Serviceinformationen“ vor, während die tatsächliche From-Adresse ein Gmail-Konto war – wodurch DMARC fehlschlug.

Ist PDQ Connect selbst Schadsoftware?

Nein – PDQ Connect ist legitime RMM-Software. Unter der Kontrolle von Angreifenden installiert, wirkt es jedoch faktisch wie ein Remote-Access-Trojaner: Es läuft als dauerhafter Dienst, und der Angreifer kann Befehle aus der Ferne ausführen, Zugangsdaten und Tokens abgreifen, Schadsoftware installieren oder Ransomware auslösen.

Wie entging die Kampagne der Sicherheitsanalyse?

Die Klick-Tracking-Weiterleitung lieferte je nach IP, Geolokalisierung, User Agent und Referrer unterschiedliche Inhalte aus. Wer den Link von außerhalb der Region des Opfers testete, sah eine harmlose Seite (durchgängig die Facebook-Startseite), während nur die vorgesehenen Ziele den schädlichen Download erhielten.

Wie schützen sich Unternehmen vor dem Missbrauch legitimer Remote-Management-Tools?

Beschränken Sie, welche RMM-Tools installiert werden dürfen, und alarmieren Sie bei unerwarteten Agent-Installationen; verifizieren Sie ungewöhnliche Anbieter-E-Mails über bekannte Kanäle statt über eingebettete Buttons; und schulen Sie Mitarbeitende darin, marken-basierte „Dokument“- und „Rechnung“-Köder mit Skepsis zu behandeln – genau die aufklärungsgetriebene Personalisierung dieser Kampagne ist es, worauf realistische Simulationen Teams vorbereiten.

Indicators of Compromise (IOCs)

Absender:
quynhquocbuirte@gmail[.]com
bichsam88272@gmail[.]com
saojfgopw7492@gmail[.]com

Distr. URLs: 

• hxxps[://]haitiepi[.]com/smut/tradename/
• hxxps[://]wchsecure[.]com/amateurishness/forfeiture/
• hxxps[://]paukp[.]com/containers/inshore/
• hxxps[://]albusproduction[.]com/fitzgerald/chatter/
• hxxps[://]datev-plattformen[.]com