Neue Phishing-Techniken verwenden legitime Microsoft-Anmeldungen
Eine ausgeklügelte Phishing-Kampagne, die über den kriminellen Dienst „EvilTokens“ operiert, bedroht aktuell Microsoft-365-Nutzer. Bei dieser Methode benötigen die Angreifer kein Passwort, wodurch auch die 2-Faktor-Authentifizierung und Passkeys versagen können.
Sicherheitsforscher haben seit dem Frühjahr einen alarmierenden Anstieg von besonders raffinierten Phishing-Angriffen auf Microsoft-365-Konten festgestellt. Diese Angriffe nutzen „EvilTokens“, eine Plattform, die Kriminellen ein umfassendes Paket für Phishing-Dienste bietet. Im Gegensatz zu traditionellen Methoden, bei denen Nutzer auf gefälschte Webseiten gelockt werden, greifen die Angreifer direkt auf die legitimen Anmeldeprozesse von Microsoft zurück, wodurch auch Multi-Faktor-Authentifizierungen und Passkeys nicht mehr schützen.
Im Februar entdeckte das slowakische Sicherheitsunternehmen ESET diese alarmierende Kampagne. Forscher der französischen Cybersecurity-Firma Sekoia lieferten erste Hinweise zu den Angriffen. Push Security berichtete im April von einem Anstieg der Kampagnen um das 37-Fache seit Jahresbeginn. Bereits im März dokumentierte das US-Unternehmen Huntress Angriffe auf über 340 Organisationen in den USA, Kanada, Australien und Deutschland.
Angriffsstrategie und Ablauf
Die Vorgehensweise von „EvilTokens“ besteht darin, Nutzer dazu zu verleiten, eine alternative Authentifizierungsmethode, den sogenannten Device Code Flow, zu verwenden. Diese Methode ist für Geräte oder Dienste konzipiert, die eine direkte Anmeldung nicht zulassen, etwa Smart-TVs oder E-Mail-Clients.
Täuschung durch Social Engineering
Ein entscheidender Faktor der Angriffe ist, dass die Opfer keinen Verdacht schöpfen. Die Angreifer versenden E-Mails, die optisch täuschend echt einer offiziellen Microsoft-Nachricht oder einer Unternehmens-E-Mail nachempfunden sind. Die zeitliche Abstimmung dieser E-Mails mit dem Versand des Gerätecodes ist entscheidend, da dieser nur etwa 15 Minuten gültig ist.
Für die Erstellung der gefälschten E-Mails setzen die Cyberkriminellen häufig auf Social Engineering. Unterstützt durch KI-Bots, sammeln sie im Internet Informationen über ihre Opfer. Diese Daten stammen entweder aus legalen Quellen oder aus Informationen, die bei früheren Hacks erbeutet wurden. So entstehen nahezu perfekte Fälschungen, die realistisch wirken und korrekte Absender sowie andere relevante Details enthalten.
Wenn ein Opfer auf die E-Mail reagiert und den Code eingibt, bleibt dies unverdächtig, da es sich um eine echte Microsoft-Seite handelt. Der Code ist gültig, die Anmeldung findet auf der legitimen Microsoft-Seite statt, und die Authentifizierung wird vom Nutzer selbst vorgenommen. In der Folge erhält die Phishing-Gruppe ein Zugriffstoken (OAuth-Token), mit dem sie auf E-Mails, Kalendereinträge, OneDrive-Dateien, Kontakte und andere Daten innerhalb von Microsoft 365 zugreifen kann.
Empfohlene Schutzmaßnahmen für Unternehmen und Nutzer
Angesichts der Tatsache, dass diese Angriffe primär Unternehmen ins Visier nehmen, sind diese gefordert, geeignete Schutzmaßnahmen zu ergreifen. Microsoft empfiehlt in einem Blogeintrag, die Freigaben weitestgehend einzuschränken, insbesondere den Device Code Flow zu blockieren und zusätzliche Sicherheitsvorkehrungen zu treffen. Darüber hinaus sollten Mitarbeitende über die bestehenden Risiken informiert und geschult werden.
Für die Endnutzer ist es ebenfalls von Bedeutung, wachsam zu sein. Bei unerwarteten Aufforderungen zur Eingabe eines Authentifizierungscodes sollte grundsätzlich Misstrauen herrschen. Dies gilt insbesondere, wenn ein Dokument, eine E-Mail oder eine Plattform die Eingabe eines Gerätecodes verlangt, ohne dass der Kontext klar ist. Bei Unsicherheiten sollten die Betroffenen die Aktion ablehnen und umgehend die IT- oder Sicherheitsabteilung informieren.
Quellen: n-tv, welivesecurity
