Ruhende Konten umgehen Microsofts Multi-Faktor-Authentifizierung

Hacker machen sich eine Schwachstelle zunutze, um auf ruhende Microsoft-Konten Zugriff zu erlangen. Die eigentliche Sicherheitsfunktion der Multi-Faktor-Authentifizierung wird dabei außer Kraft gesetzt, weil die Angreifer einfach eigene Geräte zur Authentifizierung hinzufügen. Das geht aus einer Meldung des Online-Magazins ZDNet hervor. Berichtet wird dabei über einen Trick, mit dessen Hilfe sich Unbefugte verhältnismäßig leicht Zugang zum Beispiel zu Microsoft Azure-Konten erschleichen können.

Entdeckt hatte die Schwachstelle das Cybersecurity-Unternehmen Mandiant. Laut Mandiant hat sich dabei schon ein echter Trend etabliert. Hacker nutzen den Selbstregistrierungs-Prozess in Azure Active Directory und anderen Plattformen von Microsoft aus. Das kommt aber nur für ganz bestimmte Konten zum Tragen: nämlich die, für die noch keine Multi-Faktor-Authentifizierung aktiviert wurde.

Erste Anmeldung geschieht durch Hacker

Wenn ein Unterkonto zum ersten Mal eine Authentifizierungsmethode aktiviert, kann der Nutzer sein Gerät selbst zum Konto hinzufügen - und genau das machen die Hacker auch. Sie suchen nach Konten ohne aktive MFA, erraten die Zugangsdaten mithilfe von Tools oder mit Kombinationen aus Datenlecks und fügen dann beim ersten Anmeldeversuch ein Smartphone hinzu.

Henne-Ei-Situation

Die Hacker umgehen also die Multi-Faktor-Authentifizierung nicht, sondern machen sich den Prozess für die Erstanmeldung zunutze. Speziell für Unternehmens-Konten, die zwar eingerichtet, aber nie benutzt wurden, ist das ein schneller Weg für Cyberkriminelle in Firmennetzwerke. In einem von Mandiant beschriebenen Fall verschafften sich Angreifer, die der Hackergruppe APT29 zugerechnet werden, Zugang zu einer Liste nicht veröffentlichter Mailboxen.

Um die dadurch entstehende "Henne-Ei-Situation" zu vermeiden, sollten Mitarbeiter temporäre Zugangspässe nutzen, wenn diese sich zum ersten Mal anmelden oder ihr MFA-Gerät verlieren. Damit hat das Unternehmen bessere Kontrolle und kann inaktive Accounts einfacher verwalten.

Siehe auch: