Intelligente Phishing-Angriffe nutzen legitime Microsoft-Anmeldedaten
Derzeit kursiert eine ausgeklügelte Phishing-Kampagne, die über einen kriminellen Dienst mit dem Namen „EvilTokens“ abgewickelt wird. Ziel dieser Angriffe sind gezielt Microsoft-365-Konten. Auffällig ist, dass die Angreifer weder Passwörter noch die 2-Faktor-Authentifizierung oder Passkeys benötigen, um ihre Ziele zu erreichen.
Seit dem Frühjahr haben Sicherheitsforscher einen besorgniserregenden Anstieg dieser raffinierten Phishing-Techniken festgestellt. Die Angriffe, die über die Plattform „EvilTokens“ durchgeführt werden, bieten Kriminellen ein umfassendes Set an Tools für Phishing-Dienste. Anders als bei traditionellen Methoden, bei denen Nutzer ihre Zugangsdaten auf gefälschten Webseiten eingeben, greift „EvilTokens“ auf die echten Anmeldeprozesse von Microsoft zurück. Dies macht auch Multi-Faktor-Authentifizierungen und Passkeys obsolet.
Das slowakische Sicherheitsunternehmen ESET hat bereits im Februar vor dieser Kampagne gewarnt, während Forschende der französischen Cybersecurity-Firma Sekoia erste Hinweise auf die Angriffe lieferten. Im April berichtete Push Security über einen alarmierenden Anstieg der Kampagnen um das 37-Fache seit Jahresbeginn. Zudem dokumentierte das US-Unternehmen Huntress bereits im März Angriffe auf mehr als 340 Organisationen in den USA, Kanada, Australien und Deutschland.
Angriffsablauf und Methoden
Die Strategie von „EvilTokens“ zielt darauf ab, Nutzer zu einer alternativen Authentifizierungsmethode, dem sogenannten Device Code Flow, zu verleiten. Diese Methode ist insbesondere für Geräte oder Anwendungen gedacht, bei denen eine direkte Anmeldung, wie bei Smart-TVs oder E-Mail-Clients, nicht möglich ist.
Im Rahmen eines Angriffs generieren die Kriminellen einen Gerätecode, nachdem sie überprüft haben, ob die angegebene E-Mail-Adresse zu einem Microsoft-365-Konto gehört. Hierbei nutzen sie den GetCredentialType-Endpunkt, eine Anmeldeschnittstelle, die es ermöglicht, automatisiert zu prüfen, ob eine E-Mail-Adresse oder ein Benutzerkonto existiert und welche Anmeldemethode angewendet werden sollte.
Social Engineering und Täuschungstaktiken
Ein zentrales Merkmal dieser Angriffe ist die subtile Täuschung der Opfer. Die Angreifer versenden E-Mails, die täuschend echt einer offiziellen Mitteilung von Microsoft oder einer Unternehmens-E-Mail ähneln. Diese Nachrichten müssen zeitlich präzise mit dem Versand des Gerätecodes synchronisiert werden, da dieser lediglich 15 Minuten gültig ist.
Für die Erstellung der gefälschten E-Mails wird häufig Social Engineering eingesetzt. Cyberkriminelle, unterstützt durch KI-gestützte Bots, sammeln im Internet Informationen über ihre Opfer. Diese Daten stammen entweder aus legalen Quellen oder aus Informationen, die bei früheren Hacks erlangt wurden. Mit diesen Details können nahezu perfekte Fälschungen erstellt werden, die realistisch wirken und den richtigen Absender sowie weitere relevante Informationen enthalten.
Reagiert ein Opfer auf die E-Mail und gibt den Code ein, bleibt dies unverdächtig, da der Prozess auf einer legitimen Microsoft-Seite erfolgt. Der Code ist tatsächlich gültig, die Anmeldung geschieht über die offizielle Microsoft-Seite, und die Authentifizierung wird vom Nutzer selbst bestätigt. Im Anschluss erhält die Phishing-Gruppe ein Zugriffstoken (OAuth-Token), mit dem sie auf E-Mails, Kalendereinträge, OneDrive-Dateien, Kontakte und andere Daten innerhalb von Microsoft 365 zugreifen kann.
Schutzmaßnahmen für Unternehmen und Nutzer
Da die Angriffe vorwiegend Unternehmen ins Visier nehmen, liegt es in deren Verantwortung, präventive Maßnahmen zu ergreifen. In einem Blogeintrag empfiehlt Microsoft, die Freigaben so weit wie möglich zu minimieren, insbesondere den Device Code Flow zu blockieren und zusätzliche Sicherheitsvorkehrungen zu treffen. Darüber hinaus sollten Mitarbeitende regelmäßig über die potenziellen Risiken informiert und geschult werden.
Auch für private Nutzer ist Wachsamkeit unerlässlich. Bei unerwarteten Anfragen zur Eingabe eines Authentifizierungscodes sollte stets Skepsis herrschen. Dies gilt insbesondere, wenn eine E-Mail, ein Dokument oder eine Plattform zur Eingabe eines Gerätecodes auffordert, ohne dass der Kontext klar ist. Im Zweifelsfall sollten Betroffene die Aktion ablehnen und umgehend die IT- oder Sicherheitsabteilung informieren. Verbraucher verlieren Milliarden durch raffinierte Betrugsmaschen im Internet.
„`
Quellen: n-tv, welivesecurity
