SeasonalInvite-Phishing: Angreifer missbrauchen ScreenConnect, Kaseya und LogMeIn

Phishing-Angriffe müssen längst keine klassische Schadsoftware mehr einschleusen, um Unternehmen zu kompromittieren. Die von Forescout Vedere Labs aufgedeckte Kampagne „SeasonalInvite“ bringt Opfer stattdessen dazu, legitime Fernwartungsprogramme selbst zu installieren. Saisonale Köder, KI-generierte Phishing-Seiten und eine hoch skalierbare Infrastruktur machen die Angriffsmethode besonders schwer erkennbar.

Die Sicherheitsforscher von Forescout Research – Vedere Labs – haben eine weitreichende Phishing-Kampagne entdeckt , die nach bisherigen Erkenntnissen mindestens seit Januar 2026 aktiv ist. Unter dem Namen „SeasonalInvite“ setzen die Angreifer auf wechselnde saisonale Themen, darunter vermeintliche elektronische Grußkarten, Steuerformulare und Einladungen zu Veranstaltungen.

Das Ziel besteht darin, Anwender zur Installation legitimer, jedoch bösartig konfigurierter Remote-Monitoring-and-Management-Software zu bewegen. Solche RMM-Werkzeuge werden normalerweise von IT-Abteilungen und Dienstleistern genutzt, um Systeme aus der Ferne zu verwalten. Gelangen sie jedoch unter die Kontrolle von Angreifern, ermöglichen sie einen weitreichenden Fernzugriff, ohne dass klassische Malware zum Einsatz kommen muss.

Gefälschte Grußkarten führen zum RMM-Download

Die Opfer gelangen entweder über Phishing-E-Mails oder manipulierte Suchergebnisse auf professionell gestaltete Download-Seiten. Diese imitieren unter anderem bekannte Angebote für elektronische Grußkarten wie „BlueMountain eCards“.

Nach dem Aufruf prüft ein Skript automatisch, welches Betriebssystem verwendet wird. Bereits nach etwa drei Sekunden startet der Download einer passenden RMM-Anwendung für Windows oder macOS.

Zum Einsatz kommen unter anderem kommerzielle Lösungen wie:

• ScreenConnect
• LogMeIn Resolve
• Kaseya

Da es sich bei diesen Programmen grundsätzlich um legitime Software handelt, können sie von klassischen Sicherheitslösungen weniger auffällig bewertet werden als eindeutig schädliche Dateien. Genau diesen Vertrauensvorschuss nutzen die Angreifer aus.

Wird die Software installiert und werden erforderliche Berechtigungen bestätigt, erhalten die Täter eine dauerhafte Fernzugriffsmöglichkeit auf das kompromittierte System.

959 Domains und mehr als 2.600 Gate-Seiten

Die Dimension der technischen Infrastruktur zeigt, dass SeasonalInvite nicht als einzelne Phishing-Aktion, sondern als skalierbare Kampagne angelegt ist.

Vedere Labs identifizierte 959 verschiedene Domains mit Bezug zu elektronischen Grußkarten. Zusätzlich entdeckten die Forscher ein Traffic Distribution System, kurz TDS, das mindestens 2.658 sogenannte Gate-Seiten umfasst.

Diese vorgeschalteten Seiten analysieren Besucher und entscheiden, ob diese zur eigentlichen Phishing-Seite weitergeleitet werden. Automatisierte Sicherheitsscanner, Webcrawler und Analyse-Bots werden dabei möglichst früh erkannt und blockiert.

Reale Nutzer mit einem passenden Geräte- und Browserprofil gelangen hingegen auf die manipulierten Download-Seiten. Dieses Vorgehen erschwert die automatisierte Erkennung und verlängert die Lebensdauer der Kampagne.

Hinweise auf KI-generierte Phishing-Seiten

Bei der Analyse des Quellcodes fanden die Sicherheitsforscher wiederkehrende Strukturmuster und Kommentare, die auf den Einsatz von Large Language Models hindeuten.

Generative KI kann Angreifer dabei unterstützen, neue Landingpages in kurzer Zeit zu erstellen, bestehende Vorlagen anzupassen und zusätzliche saisonale Köder zu entwickeln. Dadurch sinkt der Aufwand für die Produktion umfangreicher Phishing-Infrastrukturen deutlich.

Statt jede Webseite einzeln entwickeln zu müssen, können Täter Varianten für unterschiedliche Ereignisse, Zielgruppen, Sprachen und Betriebssysteme automatisiert erzeugen.

SeasonalInvite verdeutlicht damit, wie generative KI nicht nur für überzeugendere Phishing-Texte, sondern auch für die technische Skalierung ganzer Angriffskampagnen eingesetzt werden kann.

Datenabfluss beginnt bereits vor der Installation

Die Kampagne beschränkt sich nicht auf den späteren Fernzugriff über RMM-Software. Bereits beim Besuch der Phishing-Seite werden Informationen über das potenzielle Opfer gesammelt.

Dazu gehören unter anderem:

• IP-Adresse
• ungefährer Standort
• Betriebssystem
• Geräte- und Browserinformationen

Diese Daten werden an einen Backend-Server und teilweise zusätzlich über die Messenger-Plattform Telegram übertragen. Der Datenabfluss kann somit bereits beginnen, bevor der eigentliche Software-Download abgeschlossen oder eine Anwendung installiert wurde.

Die Angreifer erhalten dadurch frühzeitig Informationen darüber, welche Nutzer die Seite aufgerufen haben und welche Systeme sich möglicherweise für weitere Angriffe eignen.

Legitimität wird zum Tarnmechanismus

Der Missbrauch von RMM-Lösungen stellt Sicherheitsteams vor ein grundsätzliches Problem. Die Programme erfüllen in vielen Unternehmen einen legitimen Zweck und können daher nicht pauschal als Schadsoftware eingestuft werden.

Angreifer nutzen genau diese Dual-Use-Eigenschaft. Statt eigene Fernzugriffstrojaner zu entwickeln, greifen sie auf etablierte Verwaltungsprogramme zurück, deren Netzwerkverkehr und Systemaktivitäten zunächst unauffällig wirken können.

Entscheidend ist daher nicht nur, ob eine Software technisch legitim ist, sondern ob ihre Nutzung im jeweiligen Unternehmen genehmigt wurde.

RMM-Tools konsequent kontrollieren

Unternehmen sollten ein verbindliches Inventar aller zugelassenen Fernwartungs- und Remote-Management-Lösungen führen. Installationen, Prozesse und Netzwerkverbindungen nicht freigegebener RMM-Produkte müssen blockiert oder zumindest unmittelbar untersucht werden.

Eine reine Überwachung bekannter Malware-Signaturen reicht bei solchen Angriffen nicht aus. Sicherheitslösungen sollten auch erkennen können, wenn legitime Anwendungen außerhalb der vorgesehenen IT-Prozesse installiert oder ausgeführt werden.

Application Allowlisting und klare Richtlinien für Remote-Management-Software können das Risiko erheblich reduzieren.

E-Mail- und Webfilter auf saisonale Köder vorbereiten

Phishing-Filter sollten gezielt auf wiederkehrende saisonale Themen abgestimmt werden. Dazu gehören elektronische Grußkarten, Veranstaltungseinladungen, Steuerunterlagen, Urlaubsangebote oder vermeintliche Paketbenachrichtigungen.

Besondere Aufmerksamkeit verdienen neu registrierte Domains sowie Webseiten, deren Inhalte oder Weiterleitungsmechanismen sich abhängig vom Besucher verändern.

Auch mehrstufige Weiterleitungsketten über TDS-Gate-Seiten sollten in die Erkennung einbezogen werden. Sie sind häufig ein Hinweis darauf, dass Angreifer ihre eigentliche Infrastruktur vor automatisierten Analysesystemen verbergen wollen.

Ausgehenden Datenverkehr überwachen

Die Überwachung des ausgehenden Netzwerkverkehrs kann zusätzliche Hinweise auf eine Kompromittierung liefern. Auffällig sind beispielsweise unerwartete Zugriffe von Browser-Skripten auf Geolokalisierungs- und IP-Dienste wie ipapi.co.

Auch Verbindungen zu Telegram-Bots oder ungewöhnliche Datenübertragungen an bislang unbekannte Server sollten untersucht werden.

Da die SeasonalInvite-Seiten Informationen bereits beim Seitenaufruf übertragen, kann eine netzwerkbasierte Erkennung unter Umständen anschlagen, bevor die Fernwartungssoftware vollständig installiert wurde.

Awareness-Training muss über den Link hinausgehen

Klassische Phishing-Schulungen konzentrieren sich häufig darauf, verdächtige Links und Absender zu erkennen. Bei SeasonalInvite beginnt der entscheidende Angriffsschritt jedoch erst nach dem Klick.

Mitarbeiter müssen deshalb verstehen, dass eine elektronische Grußkarte, Einladung oder ein Steuerdokument normalerweise nicht die Installation einer ausführbaren Datei verlangt.

Besonders kritisch sind Situationen, in denen Nutzer aufgefordert werden, eine Datei aus dem Download-Ordner zu starten oder eine Abfrage zur Vergabe von Administratorrechten zu bestätigen.

Ein unerwarteter UAC-Dialog oder eine Installationsaufforderung im Zusammenhang mit einer Grußkarte sollte grundsätzlich als Warnsignal behandelt und an die IT-Sicherheitsabteilung gemeldet werden.

Fazit

SeasonalInvite zeigt, wie wirkungsvoll Angreifer Social Engineering, legitime Verwaltungssoftware und skalierbare Webinfrastrukturen miteinander kombinieren können. Durch den Einsatz kommerzieller RMM-Tools verschiebt sich die Erkennung weg von eindeutig schädlichen Dateien hin zur Bewertung von Kontext, Freigaben und ungewöhnlichem Nutzerverhalten.

Unternehmen benötigen deshalb klare RMM-Richtlinien, eine wirksame Anwendungskontrolle und eine Überwachung des ausgehenden Datenverkehrs. Gleichzeitig müssen Awareness-Programme Anwender darauf vorbereiten, nicht nur verdächtige Links, sondern insbesondere ungewöhnliche Download- und Installationsaufforderungen zu erkennen.