Ausgeklügelte Phishing-Angriffe zielen auf Microsoft-365-Nutzer ab
Derzeit ist eine raffinierte Phishing-Kampagne im Umlauf, die über den kriminellen Dienst „EvilTokens“ agiert und gezielt Microsoft-365-Konten ins Visier nimmt. Bei dieser Taktik umgehen die Angreifer die Notwendigkeit eines Passworts, wodurch auch die 2-Faktor-Authentifizierung und Passkeys keinen Schutz mehr bieten.
Seit dem Frühjahr haben Experten in der Sicherheitsforschung einen signifikanten Anstieg besonders durchdachter Phishing-Angriffe auf Microsoft-365-Konten registriert. Diese Angriffe erfolgen über „EvilTokens“, eine Plattform, die ein umfassendes Spektrum an Phishing-Diensten für Kriminelle bereitstellt. Im Unterschied zu herkömmlichen Methoden, bei denen Nutzer auf gefälschte Webseiten gelockt werden, nutzen die Angreifer die authentischen Anmeldeprozesse von Microsoft, was bedeutet, dass auch Multi-Faktor-Authentifizierungen und Passkeys wirkungslos bleiben.
Das slowakische Sicherheitsunternehmen ESET hat vor dieser Kampagne gewarnt, die erstmals im Februar entdeckt wurde. Untersuchungen der französischen Cybersecurity-Firma Sekoia lieferten die ersten Hinweise auf diese gefährlichen Angriffe. Im April berichtete Push Security von einem alarmierenden Anstieg der Kampagnen, der um das 37-Fache im Vergleich zum Jahresbeginn gewachsen ist. Bereits im März dokumentierte das US-Unternehmen Huntress Angriffe auf über 340 Organisationen in den USA, Kanada, Australien und Deutschland.
Angriffsstrategie und Taktiken
Die Strategie von „EvilTokens“ zielt darauf ab, Nutzer dazu zu verleiten, eine alternative Authentifizierungsmethode, den sogenannten Device Code Flow, zu verwenden. Diese Methode ist für Geräte oder Dienste konzipiert, bei denen eine direkte Anmeldung nicht möglich ist, wie beispielsweise Smart-TVs oder E-Mail-Clients.
Manipulation durch Social Engineering
Ein zentraler Aspekt dieser Angriffe besteht darin, dass die Opfer keinen Verdacht schöpfen. Die Angreifer versenden E-Mails, die täuschend echt einer offiziellen Nachricht von Microsoft oder einer Unternehmens-E-Mail nachempfunden sind. Diese E-Mails müssen zeitlich genau mit dem Versand des Gerätecodes abgestimmt sein, da dieser nur etwa 15 Minuten lang gültig ist.
Für die Erstellung der gefälschten E-Mails kommt häufig Social Engineering zum Einsatz. Cyberkriminelle nutzen dabei KI-gestützte Bots, um Informationen über ihre Opfer aus dem Internet zu sammeln. Diese Daten stammen häufig aus legitimen Quellen oder wurden bei früheren Sicherheitsvorfällen erlangt. Mit diesen Informationen sind die Angreifer in der Lage, nahezu perfekte Fälschungen zu erstellen, die echt wirken und korrekte Absender sowie weitere Details enthalten.
Reagiert ein Opfer auf die E-Mail und gibt den bereitgestellten Code ein, ist dies unverdächtig, da die Anmeldung auf einer echten Microsoft-Seite erfolgt. Der Code ist gültig, und die Authentifizierung erfolgt durch die Nutzer selbst. In der Folge erhält die Phishing-Gruppe ein Zugriffstoken (OAuth-Token), das ihnen den Zugang zu E-Mails, Kalendereinträgen, OneDrive-Dateien, Kontakten und anderen Daten innerhalb von Microsoft 365 ermöglicht.
Empfohlene Schutzmaßnahmen für Unternehmen und Nutzer
Angesichts der Tatsache, dass diese Angriffe insbesondere auf Unternehmen abzielen, obliegt es diesen, geeignete Sicherheitsmaßnahmen zu ergreifen. Microsoft empfiehlt in einem Blogeintrag, Freigaben möglichst zu minimieren, insbesondere den Device Code Flow zu blockieren und zusätzliche Sicherheitsvorkehrungen zu treffen. Zudem sollten Mitarbeitende über die damit verbundenen Risiken informiert und geschult werden.
Für private Nutzer ist es ebenfalls entscheidend, wachsam zu sein. Bei unerwarteten Aufforderungen zur Eingabe eines Authentifizierungscodes sollte grundsätzlich Misstrauen herrschen. Besonders gilt dies, wenn ein Dokument, eine E-Mail oder eine Plattform die Eingabe eines Gerätecodes verlangt, ohne dass der Kontext klar ist. Im Zweifelsfall sollten die Betroffenen die Aktion ablehnen und umgehend die IT- oder Sicherheitsabteilung informieren.
Zusätzlich ist es wichtig, sich über digitale Betrugsmaschen zu informieren, die Verbraucher in die Irre führen können. Auch gefälschte Gewinnspiele sind ein Beispiel für die Tricks, die Kriminelle anwenden, um ahnungslose Nutzer zu täuschen.
„`
Quellen: n-tv, welivesecurity
